Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\WinProvider] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\WinProvider] 'ImagePath' = 'cmd /c cd /d "C:\Drivers\OG" && start "" "C:\Drivers\OG\SOl.exe"'
Создает следующие сервисы
- 'WinProvider' cmd /c cd /d "C:\Drivers\OG" && start "" "C:\Drivers\OG\SOl.exe"
Вредоносные функции
Запускает большое число процессов
Патчит код
в динамической библиотеке
- Процесс sol.exe, модуль AEPIC.dll
- Процесс sol.exe, модуль apphelp.dll
в динамической библиотеке AMSI
- Процесс sol.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс sol.exe, модуль ntdll.dll
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-12nfj.tmp\<Имя файла>.tmp
- %TEMP%\is-mr5u9.tmp\_isetup\_setup64.tmp
- C:\drivers\og\is-lm0u3.tmp
- C:\drivers\og\is-kjh0c.tmp
- C:\drivers\og\is-76ms2.tmp
- C:\drivers\og\is-5t7nq.tmp
- C:\drivers\og\is-0o5on.tmp
- C:\drivers\og\is-hgkch.tmp
- C:\drivers\rvqsr\is-lqvrs.tmp
Удаляет файлы, которые сам же создал
- %TEMP%\is-mr5u9.tmp\_isetup\_setup64.tmp
- %TEMP%\is-12nfj.tmp\<Имя файла>.tmp
Перемещает следующие файлы
- C:\drivers\og\is-lm0u3.tmp в C:\drivers\og\dtxldsa.sal
- C:\drivers\og\is-kjh0c.tmp в C:\drivers\og\ktey.uslj
- C:\drivers\og\is-76ms2.tmp в C:\drivers\og\lk.ist
- C:\drivers\og\is-5t7nq.tmp в C:\drivers\og\rellukhmmk.dani
- C:\drivers\og\is-0o5on.tmp в C:\drivers\og\sol.exe
- C:\drivers\og\is-hgkch.tmp в C:\drivers\og\wmvirtualdisplaysdk.dll
- C:\drivers\rvqsr\is-lqvrs.tmp в C:\drivers\rvqsr\123.png
Другое
Создает и запускает на исполнение
- '%TEMP%\is-12nfj.tmp\<Имя файла>.tmp' /SL5="$B02B0,10987953,832512,<Полный путь к файлу>"
- 'C:\drivers\og\sol.exe'
Запускает на исполнение
- '<SYSTEM32>\sc.exe' create WinProvider binPath= "cmd /c cd /d \"C:\Drivers\OG\" && start \"\" \"C:\Drivers\OG\SOl.exe\"" start= auto (со скрытым окном)
- '<SYSTEM32>\sc.exe' failure WinProvider reset= 0 actions= restart/1000 (со скрытым окном)
- '<SYSTEM32>\sc.exe' start WinProvider (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c cd /d "C:\Drivers\OG" && start "" "C:\Drivers\OG\SOl.exe"
- '<SYSTEM32>\sc.exe' start VSS (со скрытым окном)
