Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\WinUpdateSys] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\WinUpdateSys] 'ImagePath' = '%TEMP%\WindowsUpdateModule\SystemUpdateService.exe'
Создает следующие сервисы
- 'WinUpdateSys' %TEMP%\WindowsUpdateModule\SystemUpdateService.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\windowsupdatemodule\systemupdateservice.exe
- nul
- %TEMP%\tmp9522.tmp
- %TEMP%\tmp9581.tmp
- %TEMP%\windowsupdatemodule\state.dat
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
- %LOCALAPPDATA%\packages\microsoft.windowsstore_8wekyb3d8bbwe\ac\microsoft\cryptneturlcache\metadata\77ec63bda74bd0d0e0426dc8f8008506
- %LOCALAPPDATA%\packages\microsoft.windowsstore_8wekyb3d8bbwe\ac\microsoft\cryptneturlcache\metadata\57c8edb95df3f0ad4ee2dc2b8cfd4157
- %LOCALAPPDATA%\packages\microsoft.windowsstore_8wekyb3d8bbwe\ac\microsoft\cryptneturlcache\metadata\fb0d848f74f70bb2eaa93746d24d9749
Удаляет файлы, которые сам же создал
- %TEMP%\tmp9522.tmp
- %TEMP%\tmp9581.tmp
Подменяет следующие исполняемые файлы
- <Полный путь к файлу>
Самоперемещается
- из <Полный путь к файлу> в %TEMP%\<Имя файла>.exe3472.tmp
Сетевая активность
Подключается к
- 'storeedge.microsoft.com':443
- '19#.#32.214.172':80
- 'displaycatalog.mp.microsoft.com':443
- 'oneocsp.microsoft.com':80
- 'store-images.s-microsoft.com':443
- 'store-images.microsoft.com':443
- 'storeedgefd.dsx.mp.microsoft.com':443
- 'go#####agmanager.com':443
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?2a##############
- http://oneocsp.microsoft.com/ocsp/MFQwUjBQME4wTDAJBgUrDgMCGgUABBQ3L3%2F%2Fa6ADK8NraY2GXzVaYrHG4AQUb6t%2B2v%2BXQ3LsO2d33oJhNYhHQoUCEzMAAAAGb6JMMcOVb6sAAAAAAAY%3D
Другие
- 'storeedge.microsoft.com':443
- 'apps.microsoft.com':443
- 'store-images.s-microsoft.com':443
- 'store-images.microsoft.com':443
- 'livetileedge.dsx.mp.microsoft.com':443
- 'microsoft.com':443
- 'go#####agmanager.com':443
- 'wcpstatic.microsoft.com':443
UDP
- DNS ASK storeedge.microsoft.com
- DNS ASK displaycatalog.mp.microsoft.com
- DNS ASK oneocsp.microsoft.com
- DNS ASK store-images.s-microsoft.com
- DNS ASK store-images.microsoft.com
- DNS ASK storeedgefd.dsx.mp.microsoft.com
- DNS ASK microsoft.com
- DNS ASK apps.microsoft.com
- DNS ASK go#####agmanager.com
- DNS ASK wcpstatic.microsoft.com
Другое
Создает и запускает на исполнение
- '%TEMP%\windowsupdatemodule\systemupdateservice.exe'
- '%TEMP%\windowsupdatemodule\systemupdateservice.exe' --monitor
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ping 127.0.0.1 -n 2 > nul & del /f /a /q "%TEMP%\<Имя файла>.exe3472.tmp"
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 2
- '%ProgramFiles%\windowsapps\microsoft.windowsstore_11910.1002.5.0_x64__8wekyb3d8bbwe\winstore.app.exe' -ServerName:App.AppXc75wvwned5vhz4xyxxecvgdjhdkgsdza.mca
- '<SYSTEM32>\svchost.exe' -k appmodel -p -s camsvc
