Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'AgentSvc' = '<Полный путь к файлу>'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'MsSvc' = '<Полный путь к файлу>'
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'AgentMgr' = '<Полный путь к файлу>'
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'MsMgr' = '<Полный путь к файлу>'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'Ms32' = '<Полный путь к файлу>'
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'HelperSvc' = '<Полный путь к файлу>'
- [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'Load' = '<Полный путь к файлу>'
- [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'Run' = '<Полный путь к файлу>'
- [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "<Полный путь к файлу>"'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,,"<Полный путь к файлу>"'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'AppInit_DLLs' = '<Полный путь к файлу>'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe] 'Debugger' = '<Полный путь к файлу>'
- [HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{SvcCoreNet32-lvrium}] 'StubPath' = '<Полный путь к файлу>'
- [HKCU\Environment] 'UserInitMprLogonScript' = '<Полный путь к файлу>'
- [HKCU\Software\Microsoft\Command Processor] 'AutoRun' = '<Полный путь к файлу>'
- [HKLM\SOFTWARE\Microsoft\Command Processor] 'AutoRun' = '<Полный путь к файлу>'
- [HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors\HelperMgr] 'Driver' = '<Полный путь к файлу>'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\ms64
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\Update32] 'ImagePath' = '<Полный путь к файлу>'
- [HKLM\SYSTEM\CurrentControlSet\Services\Update32] 'Start' = '00000002'
Создает следующие сервисы
- 'Update32' <Полный путь к файлу>
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Set-MpPreference -DisableRealtimeMonitoring $true"
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\31
- %APPDATA%\netcore.exe
- nul
- %HOMEPATH%\desktop\ms32.exe
- %HOMEPATH%\documents\hostsvc.exe
- %HOMEPATH%\downloads\net32.exe
- %APPDATA%\helpermonitor.exe
- %LOCALAPPDATA%\agentcore.exe
- %TEMP%\netmgr.exe
- %TEMP%\corehelper.exe
- %TEMP%\helpercore.exe
- %WINDIR%\temp\runtimehelper.exe
- <SYSTEM32>\msagent.exe
- %WINDIR%\syswow64\sysmgr.exe
- %WINDIR%\updateagent.exe
- %ALLUSERSPROFILE%\msmgr.exe
- C:\sys64.exe
- C:\users\public\winmonitor.exe
- C:\users\public\desktop\agenthost.exe
- %ProgramFiles%\corehelper.exe
- %ProgramFiles(x86)%\helpertask.exe
- <SYSTEM32>\config\systemprofile\appdata\roaming\net64.exe
- <SYSTEM32>\config\systemprofile\appdata\local\runtimehost.exe
- %WINDIR%\serviceprofiles\localservice\desktop\svcproc.exe
- %WINDIR%\serviceprofiles\localservice\appdata\roaming\wincore.exe
- %WINDIR%\serviceprofiles\localservice\appdata\local\corehelper.exe
- %WINDIR%\serviceprofiles\networkservice\desktop\helperproc.exe
- %WINDIR%\serviceprofiles\networkservice\appdata\roaming\msagent.exe
- %WINDIR%\serviceprofiles\networkservice\appdata\local\runtimemonitor.exe
- %HOMEPATH%\desktop\host32.exe
- %APPDATA%\helpertask.exe
- %LOCALAPPDATA%\mstask.exe
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6a4006b3-e3c.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6a4006bd-e14.pma
- %LOCALAPPDATA%\microsoft\edge\user data\default\manifest-000001
- %LOCALAPPDATA%\microsoft\edge\user data\default\000001.dbtmp
- %LOCALAPPDATA%\microsoft\edge\user data\default\manifest-000002
- %LOCALAPPDATA%\microsoft\edge\user data\default\000002.dbtmp
- %LOCALAPPDATA%\microsoft\edge\user data\default\log
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\index
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\data_0
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\data_2
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\data_3
- %LOCALAPPDATA%\microsoft\edge\user data\default\cookies-journal
- %LOCALAPPDATA%\microsoft\edge\user data\default\cookies
- %LOCALAPPDATA%\microsoft\edge\user data\default\session storage\manifest-000001
- %LOCALAPPDATA%\microsoft\edge\user data\default\session storage\000001.dbtmp
- %LOCALAPPDATA%\microsoft\edge\user data\default\cache\index
- %LOCALAPPDATA%\microsoft\edge\user data\default\session storage\log
- %LOCALAPPDATA%\microsoft\edge\user data\default\session storage\000003.log
- %LOCALAPPDATA%\microsoft\edge\user data\default\cache\data_0
- %LOCALAPPDATA%\microsoft\edge\user data\default\shared_proto_db\metadata\manifest-000001
- %LOCALAPPDATA%\microsoft\edge\user data\default\shared_proto_db\metadata\000001.dbtmp
- %LOCALAPPDATA%\microsoft\edge\user data\default\shared_proto_db\metadata\log
- %LOCALAPPDATA%\microsoft\edge\user data\default\shared_proto_db\metadata\000003.log
- %LOCALAPPDATA%\microsoft\edge\user data\default\cache\data_2
- %LOCALAPPDATA%\microsoft\edge\user data\default\cache\data_3
- %LOCALAPPDATA%\microsoft\edge\user data\default\reporting and nel-journal
- %LOCALAPPDATA%\microsoft\edge\user data\default\reporting and nel
Удаляет файлы, которые сам же создал
- %LOCALAPPDATA%\microsoft\edge\user data\default\manifest-000001
Перемещает следующие файлы
- %LOCALAPPDATA%\microsoft\edge\user data\default\000001.dbtmp в %LOCALAPPDATA%\microsoft\edge\user data\default\current
- %LOCALAPPDATA%\microsoft\edge\user data\default\session storage\000001.dbtmp в %LOCALAPPDATA%\microsoft\edge\user data\default\session storage\current
- %LOCALAPPDATA%\microsoft\edge\user data\default\shared_proto_db\metadata\000001.dbtmp в %LOCALAPPDATA%\microsoft\edge\user data\default\shared_proto_db\metadata\current
Изменяет следующие файлы
- %LOCALAPPDATA%\microsoft\edge\user data\last version
- %LOCALAPPDATA%\microsoft\edge\user data\default\site characteristics database\log
- %LOCALAPPDATA%\microsoft\edge\user data\default\sync data\leveldb\log
- %LOCALAPPDATA%\microsoft\edge\user data\default\sync data\leveldb\000003.log
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data-journal
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
- %LOCALAPPDATA%\microsoft\tokenbroker\cache\9cd93bc6dcf544bae69531052e64647ec02f2bb4.tbres
- %LOCALAPPDATA%\microsoft\edge\user data\default\history-journal
- %LOCALAPPDATA%\microsoft\edge\user data\default\visited links
Подменяет следующие файлы
- %LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Local Storage\leveldb\LOG
- %LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Platform Notifications\LOG
Сетевая активность
Подключается к
- 'ap#.#pify.org':443
- 'ca####.discord.com':443
- 'co####.edge.skype.com':443
- 'yo##ube.com':443
- 'i.##img.com':443
- 'rr##########onuxaxjvh-n8v6.googlevideo.com':443
- 'fo###.#oogleapis.com':443
TCP
Другие
- 'ap#.#pify.org':443
- 'ca####.discord.com':443
- 'co####.edge.skype.com':443
- 'yo##ube.com':443
- 'i.##img.com':443
- 'rr#######5goeen7y.c.youtube.com':443
- 'rr##########onuxaxjvh-n8v6.googlevideo.com':443
- 'fo###.#oogleapis.com':443
UDP
- DNS ASK ap#.#pify.org
- DNS ASK ca####.discord.com
- DNS ASK co####.edge.skype.com
- DNS ASK yo##ube.com
- DNS ASK i.##img.com
- DNS ASK rr#######5goeen7y.c.youtube.com
- DNS ASK fo###.#oogleapis.com
- DNS ASK rr##########onuxaxjvh-n8v6.googlevideo.com
Другое
Ищет следующие окна
- ClassName: 'Chrome_MessageWindow' WindowName: '%LOCALAPPDATA%\Microsoft\Edge\User Data'
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c powershell -Command "Set-MpPreference -DisableRealtimeMonitoring $true" 2>nul (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc config WinDefend start=disabled 2>nul (со скрытым окном)
- '<SYSTEM32>\sc.exe' config WinDefend start=disabled
- '<SYSTEM32>\cmd.exe' /c sc stop WinDefend 2>nul (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop WinDefend
- '<SYSTEM32>\cmd.exe' /c vssadmin delete shadows /all /quiet 2>nul (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c schtasks /Create /F /SC ONLOGON /TN "Ms64" /TR "\"%APPDATA%\NetCore.exe\"" /RL HIGHEST (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Create /F /SC ONLOGON /TN "Ms64" /TR "\"%APPDATA%\NetCore.exe\"" /RL HIGHEST
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --single-argument https://www.youtube.com/watch?v=H_WN-xTp7oU
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --flag-switches-begin --flag-switches-end --do-not-de-elevate https://www.youtube.com/watch?v=H_WN-xTp7oU (со скрытым окном)
