Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'NVDisplay.Container' = '"%ALLUSERSPROFILE%\NVDisplay\NVDisplay.Container.exe"'
- [HKCU\Environment] 'UserInitMprLogonScript' = '"%ALLUSERSPROFILE%\NVDisplay\NVDisplay.Container.exe"'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,%ALLUSERSPROFILE%\NVDisplay\NVDisplay.Container.exe,'
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%ALLUSERSPROFILE%\NVDisplay\WinRing0x64.sys'
- [HKLM\SYSTEM\CurrentControlSet\Services\NVDisplayContainerLS] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\NVDisplayContainerLS] 'ImagePath' = '"%ALLUSERSPROFILE%\NVDisplay\NVDisplay.Container.exe" -s'
Создает следующие сервисы
- 'WinRing0_1_2_0' %ALLUSERSPROFILE%\NVDisplay\WinRing0x64.sys
- 'NVDisplayContainerLS' %ALLUSERSPROFILE%�VDisplay�VDisplay.Container.exe" -
Вредоносные функции
Патчит код
в динамической библиотеке
- Процесс lqozgwy.exe, модуль Wldp.dll
- Процесс nvdisplay.container.exe, модуль Wldp.dll
- Процесс adobearmhelper.exe, модуль Wldp.dll
в динамической библиотеке AMSI
- Процесс lqozgwy.exe, модуль Amsi.dll
- Процесс nvdisplay.container.exe, модуль Amsi.dll
- Процесс adobearmhelper.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс lqozgwy.exe, модуль ntdll.dll
- Процесс nvdisplay.container.exe, модуль ntdll.dll
- Процесс adobearmhelper.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\~ld.log
- %ALLUSERSPROFILE%\nvdisplay\winring0x64.sys
- <SYSTEM32>\kernel.appcache.dll
- %ALLUSERSPROFILE%\nvdisplay\nvdisplay.container.exe
- %ALLUSERSPROFILE%\adobearm\adobearmhelper.exe
- %ALLUSERSPROFILE%\nvdisplay\desktop.ini
- %ALLUSERSPROFILE%\nvdisplay\desktop.ini:cache_svc
- %ALLUSERSPROFILE%\nvdisplay\~df000dccf5.tmp
- %TEMP%\~df000dd66b.bat
- nul
Присваивает атрибут 'скрытый' для следующих файлов
- %ALLUSERSPROFILE%\nvdisplay\nvdisplay.container.exe
- %ALLUSERSPROFILE%\adobearm\adobearmhelper.exe
Удаляет файлы, которые сам же создал
- %ALLUSERSPROFILE%\nvdisplay\winring0x64.sys
- %ALLUSERSPROFILE%\nvdisplay\~df000dccf5.tmp
Сетевая активность
UDP
- DNS ASK ip##pi.com
- DNS ASK ap#.##legram.org
- DNS ASK po##.#upportxmr.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' //B "%ALLUSERSPROFILE%\NVDisplay\~DF000DCCF5.tmp"
- '%ALLUSERSPROFILE%\nvdisplay\nvdisplay.container.exe'
- '%ALLUSERSPROFILE%\adobearm\adobearmhelper.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\~DF000DD66B.bat"
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 4
