Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'MicrosoftOneDriveSync' = 'wscript.exe "%APPDATA%\Microsoft\SecurityHealthService.vbs"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'GoogleChromeUpdate' = 'wscript.exe "%LOCALAPPDATA%\Google\Update\GCacheService.vbs"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsSecurityHealth' = 'wscript.exe "%APPDATA%\Microsoft\Windows\WinDefenderAgent.vbs"'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\securityhealthservice.lnk
Вредоносные функции
Загружает
- https://chk.wtf/ip.txt
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\windowspowershell\v1.0\powershell.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei49242\crypto\cipher\_arc4.pyd
- %TEMP%\_mei49242\crypto\cipher\_salsa20.pyd
- %TEMP%\_mei49242\crypto\cipher\_chacha20.pyd
- %TEMP%\_mei49242\crypto\cipher\_pkcs1_decode.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_aes.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_aesni.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_arc2.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_blowfish.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_cast.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_cbc.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_cfb.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_ctr.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_des.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_des3.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_ecb.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_eksblowfish.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_ocb.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_ofb.pyd
- %TEMP%\_mei49242\crypto\hash\_blake2b.pyd
- %TEMP%\_mei49242\crypto\hash\_blake2s.pyd
- %TEMP%\_mei49242\crypto\hash\_md2.pyd
- %TEMP%\_mei49242\crypto\hash\_md4.pyd
- %TEMP%\_mei49242\crypto\hash\_md5.pyd
- %TEMP%\_mei49242\crypto\hash\_ripemd160.pyd
- %TEMP%\_mei49242\crypto\hash\_sha1.pyd
- %TEMP%\_mei49242\crypto\hash\_sha224.pyd
- %TEMP%\_mei49242\crypto\hash\_sha256.pyd
- %TEMP%\_mei49242\crypto\hash\_sha384.pyd
- %TEMP%\_mei49242\crypto\hash\_sha512.pyd
- %TEMP%\_mei49242\crypto\hash\_ghash_clmul.pyd
- %TEMP%\_mei49242\crypto\hash\_ghash_portable.pyd
- %TEMP%\_mei49242\crypto\hash\_keccak.pyd
- %TEMP%\_mei49242\crypto\hash\_poly1305.pyd
- %TEMP%\_mei49242\crypto\math\_modexp.pyd
- %TEMP%\_mei49242\crypto\protocol\_scrypt.pyd
- %TEMP%\_mei49242\crypto\publickey\_curve25519.pyd
- %TEMP%\_mei49242\crypto\publickey\_curve448.pyd
- %TEMP%\_mei49242\crypto\publickey\_ec_ws.pyd
- %TEMP%\_mei49242\crypto\publickey\_ed25519.pyd
- %TEMP%\_mei49242\crypto\publickey\_ed448.pyd
- %TEMP%\_mei49242\crypto\util\_cpuid_c.pyd
- %TEMP%\_mei49242\crypto\util\_strxor.pyd
- %TEMP%\_mei49242\vcruntime140.dll
- %TEMP%\_mei49242\vcruntime140_1.dll
- %TEMP%\_mei49242\_bz2.pyd
- %TEMP%\_mei49242\_cffi_backend.cp311-win_amd64.pyd
- %TEMP%\_mei49242\_ctypes.pyd
- %TEMP%\_mei49242\_decimal.pyd
- %TEMP%\_mei49242\_hashlib.pyd
- %TEMP%\_mei49242\_lzma.pyd
- %TEMP%\_mei49242\_multiprocessing.pyd
- %TEMP%\_mei49242\_queue.pyd
- %TEMP%\_mei49242\_socket.pyd
- %TEMP%\_mei49242\_sqlite3.pyd
- %TEMP%\_mei49242\_ssl.pyd
- %TEMP%\_mei49242\base_library.zip
- %TEMP%\_mei49242\libcrypto-1_1.dll
- %TEMP%\_mei49242\libffi-8.dll
- %TEMP%\_mei49242\libssl-1_1.dll
- %TEMP%\_mei49242\pyexpat.pyd
- %TEMP%\_mei49242\python311.dll
- %TEMP%\_mei49242\pywin32_system32\pywintypes311.dll
- %TEMP%\_mei49242\select.pyd
- %TEMP%\_mei49242\sqlite3.dll
- %TEMP%\_mei49242\unicodedata.pyd
- %TEMP%\_mei49242\win32\win32api.pyd
- %TEMP%\_mei49242\win32\win32crypt.pyd
- %TEMP%\_mei49242\win32\win32security.pyd
- %APPDATA%\microsoft\securityhealthservice.exe
- %LOCALAPPDATA%\google\update\gcacheservice.exe
- %APPDATA%\microsoft\windows\windefenderagent.exe
- %APPDATA%\microsoft\securityhealthservice.vbs
- %LOCALAPPDATA%\google\update\gcacheservice.vbs
- %APPDATA%\microsoft\windows\windefenderagent.vbs
- %APPDATA%\microsoft\_sl.vbs
- %TEMP%\_mei11682\crypto\cipher\_arc4.pyd
- %TEMP%\_mei11682\crypto\cipher\_salsa20.pyd
- %TEMP%\_mei11682\crypto\cipher\_chacha20.pyd
- %TEMP%\_mei11682\crypto\cipher\_pkcs1_decode.pyd
- %TEMP%\_mei11682\crypto\cipher\_raw_aes.pyd
- %TEMP%\_mei11682\crypto\cipher\_raw_aesni.pyd
- %TEMP%\_mei11682\crypto\cipher\_raw_arc2.pyd
- %TEMP%\_mei11682\crypto\cipher\_raw_blowfish.pyd
- %TEMP%\_mei11682\crypto\cipher\_raw_cast.pyd
- %TEMP%\_mei11682\crypto\cipher\_raw_cbc.pyd
- %TEMP%\_mei11682\crypto\cipher\_raw_cfb.pyd
- %TEMP%\_mei11682\crypto\cipher\_raw_ctr.pyd
- %TEMP%\_mei11682\crypto\cipher\_raw_des.pyd
- %TEMP%\_mei11682\crypto\cipher\_raw_des3.pyd
- %TEMP%\_mei11682\crypto\cipher\_raw_ecb.pyd
- %TEMP%\_mei11682\crypto\cipher\_raw_eksblowfish.pyd
- %TEMP%\_mei11682\crypto\cipher\_raw_ocb.pyd
- %TEMP%\_mei11682\crypto\cipher\_raw_ofb.pyd
- %TEMP%\_mei11682\crypto\hash\_blake2b.pyd
- %TEMP%\_mei11682\crypto\hash\_blake2s.pyd
- %TEMP%\_mei11682\crypto\hash\_md2.pyd
- %TEMP%\_mei11682\crypto\hash\_md4.pyd
- %TEMP%\_mei11682\crypto\hash\_md5.pyd
- %TEMP%\_mei11682\crypto\hash\_ripemd160.pyd
- %TEMP%\_mei11682\crypto\hash\_sha1.pyd
- %TEMP%\_mei11682\crypto\hash\_sha224.pyd
- %TEMP%\_mei11682\crypto\hash\_sha256.pyd
- %TEMP%\_mei11682\crypto\hash\_sha384.pyd
- %TEMP%\_mei11682\crypto\hash\_sha512.pyd
- %TEMP%\_mei11682\crypto\hash\_ghash_clmul.pyd
- %TEMP%\_mei11682\crypto\hash\_ghash_portable.pyd
- %TEMP%\_mei11682\crypto\hash\_keccak.pyd
- %TEMP%\_mei11682\crypto\hash\_poly1305.pyd
- %TEMP%\_mei11682\crypto\math\_modexp.pyd
- %TEMP%\_mei11682\crypto\protocol\_scrypt.pyd
- %TEMP%\_mei11682\crypto\publickey\_curve25519.pyd
- %TEMP%\_mei11682\crypto\publickey\_curve448.pyd
- %TEMP%\_mei11682\crypto\publickey\_ec_ws.pyd
- %TEMP%\_mei11682\crypto\publickey\_ed25519.pyd
- %TEMP%\_mei11682\crypto\publickey\_ed448.pyd
- %TEMP%\_mei11682\crypto\util\_cpuid_c.pyd
- %TEMP%\_mei11682\crypto\util\_strxor.pyd
- %TEMP%\_mei11682\vcruntime140.dll
- %TEMP%\_mei11682\vcruntime140_1.dll
- %TEMP%\_mei11682\_bz2.pyd
- %TEMP%\_mei11682\_cffi_backend.cp311-win_amd64.pyd
- %TEMP%\_mei11682\_ctypes.pyd
- %TEMP%\_mei11682\_decimal.pyd
- %TEMP%\_mei11682\_hashlib.pyd
- %TEMP%\_mei11682\_lzma.pyd
- %TEMP%\_mei11682\_multiprocessing.pyd
- %TEMP%\_mei11682\_queue.pyd
- %TEMP%\_mei11682\_socket.pyd
- %TEMP%\_mei11682\_sqlite3.pyd
- %TEMP%\_mei11682\_ssl.pyd
- %TEMP%\_mei11682\base_library.zip
- %TEMP%\_mei11682\libcrypto-1_1.dll
- %TEMP%\_mei11682\libffi-8.dll
- %TEMP%\_mei11682\libssl-1_1.dll
- %TEMP%\_mei11682\pyexpat.pyd
- %TEMP%\_mei11682\python311.dll
- %TEMP%\_mei11682\pywin32_system32\pywintypes311.dll
- %TEMP%\_mei11682\select.pyd
- %TEMP%\_mei11682\sqlite3.dll
- %TEMP%\_mei11682\unicodedata.pyd
- %TEMP%\_mei11682\win32\win32api.pyd
- %TEMP%\_mei11682\win32\win32crypt.pyd
- %TEMP%\_mei11682\win32\win32security.pyd
- %TEMP%\1bleo1wf
- %TEMP%\sv_6cfhz1za\screenshot.png
- %TEMP%\ck_ozuioa0v\c-journal
- %TEMP%\ck_ozuioa0v\c
- %TEMP%\ck_ozuioa0v\vss.ps1
Удаляет файлы, которые сам же создал
- %APPDATA%\microsoft\_sl.vbs
- %TEMP%\_mei49242\base_library.zip
- %TEMP%\_mei49242\crypto\cipher\_arc4.pyd
- %TEMP%\_mei49242\crypto\cipher\_chacha20.pyd
- %TEMP%\_mei49242\crypto\cipher\_pkcs1_decode.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_aes.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_aesni.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_arc2.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_blowfish.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_cast.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_cbc.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_cfb.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_ctr.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_des.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_des3.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_ecb.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_eksblowfish.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_ocb.pyd
- %TEMP%\_mei49242\crypto\cipher\_raw_ofb.pyd
- %TEMP%\_mei49242\crypto\cipher\_salsa20.pyd
- %TEMP%\_mei49242\crypto\hash\_blake2b.pyd
- %TEMP%\_mei49242\crypto\hash\_blake2s.pyd
- %TEMP%\_mei49242\crypto\hash\_ghash_clmul.pyd
- %TEMP%\_mei49242\crypto\hash\_ghash_portable.pyd
- %TEMP%\_mei49242\crypto\hash\_keccak.pyd
- %TEMP%\_mei49242\crypto\hash\_md2.pyd
- %TEMP%\_mei49242\crypto\hash\_md4.pyd
- %TEMP%\_mei49242\crypto\hash\_md5.pyd
- %TEMP%\_mei49242\crypto\hash\_poly1305.pyd
- %TEMP%\_mei49242\crypto\hash\_ripemd160.pyd
- %TEMP%\_mei49242\crypto\hash\_sha1.pyd
- %TEMP%\_mei49242\crypto\hash\_sha224.pyd
- %TEMP%\_mei49242\crypto\hash\_sha256.pyd
- %TEMP%\_mei49242\crypto\hash\_sha384.pyd
- %TEMP%\_mei49242\crypto\hash\_sha512.pyd
- %TEMP%\_mei49242\crypto\math\_modexp.pyd
- %TEMP%\_mei49242\crypto\protocol\_scrypt.pyd
- %TEMP%\_mei49242\crypto\publickey\_curve25519.pyd
- %TEMP%\_mei49242\crypto\publickey\_curve448.pyd
- %TEMP%\_mei49242\crypto\publickey\_ec_ws.pyd
- %TEMP%\_mei49242\crypto\publickey\_ed25519.pyd
- %TEMP%\_mei49242\crypto\publickey\_ed448.pyd
- %TEMP%\_mei49242\crypto\util\_cpuid_c.pyd
- %TEMP%\_mei49242\crypto\util\_strxor.pyd
- %TEMP%\_mei49242\libcrypto-1_1.dll
- %TEMP%\_mei49242\libffi-8.dll
- %TEMP%\_mei49242\libssl-1_1.dll
- %TEMP%\_mei49242\pyexpat.pyd
- %TEMP%\_mei49242\python311.dll
- %TEMP%\_mei49242\pywin32_system32\pywintypes311.dll
- %TEMP%\_mei49242\select.pyd
- %TEMP%\_mei49242\sqlite3.dll
- %TEMP%\_mei49242\unicodedata.pyd
- %TEMP%\_mei49242\vcruntime140.dll
- %TEMP%\_mei49242\vcruntime140_1.dll
- %TEMP%\_mei49242\win32\win32api.pyd
- %TEMP%\_mei49242\win32\win32crypt.pyd
- %TEMP%\_mei49242\win32\win32security.pyd
- %TEMP%\_mei49242\_bz2.pyd
- %TEMP%\_mei49242\_cffi_backend.cp311-win_amd64.pyd
- %TEMP%\_mei49242\_ctypes.pyd
- %TEMP%\_mei49242\_decimal.pyd
- %TEMP%\_mei49242\_hashlib.pyd
- %TEMP%\_mei49242\_lzma.pyd
- %TEMP%\_mei49242\_multiprocessing.pyd
- %TEMP%\_mei49242\_queue.pyd
- %TEMP%\_mei49242\_socket.pyd
- %TEMP%\_mei49242\_sqlite3.pyd
- %TEMP%\_mei49242\_ssl.pyd
- %TEMP%\1bleo1wf
- %TEMP%\ck_ozuioa0v\c-journal
- %TEMP%\ck_ozuioa0v\c
- %TEMP%\ck_ozuioa0v\vss.ps1
Подменяет следующие файлы
- %APPDATA%\microsoft\_sl.vbs
- %TEMP%\ck_ozuioa0v\c
Сетевая активность
Подключается к
- '95.#.200.90':4444
UDP
- DNS ASK ip##fo.io
- DNS ASK ch#.wtf
- DNS ASK ip##pi.com
- DNS ASK ap#.#pify.org
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' %APPDATA%\Microsoft\_sl.vbs
- '%APPDATA%\microsoft\securityhealthservice.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -File %TEMP%\ck_ozuioa0v\vss.ps1
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "ver" (со скрытым окном)
- '<SYSTEM32>\wscript.exe' %APPDATA%\Microsoft\_sl.vbs
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command " $ErrorActionPreference='SilentlyContinue' $i=@{} $os=Get-CimInstance Win32_OperatingSystem $i.os_name=$os.Caption $i.os_version=$os.Version $i.os_b...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command " Add-Type -AssemblyName System.Windows.Forms Add-Type -AssemblyName System.Drawing $screens=[System.Windows.Forms.Screen]::AllScreens|Sort-Object {$...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "(Get-Process services).Id"
- '<SYSTEM32>\esentutl.exe' /y "%LOCALAPPDATA%\Google\Chrome\User Data\Default\Cookies" /d %TEMP%\ck_ozuioa0v\C /o
- '<SYSTEM32>\esentutl.exe' /y "%LOCALAPPDATA%\Google\Chrome\User Data\Default\Cookies-journal" /d %TEMP%\ck_ozuioa0v\C-journal /o
- '<SYSTEM32>\wbem\wmiapsrv.exe'
- '<SYSTEM32>\esentutl.exe' /y "%LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data" /d %TEMP%\ck_srm325nw\C /o
- '<SYSTEM32>\esentutl.exe' /y "%LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data-journal" /d %TEMP%\ck_srm325nw\C-journal /o
- '<SYSTEM32>\esentutl.exe' /y "%LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Login Data" /d %TEMP%\ck_fmp15pdz\C /o
