Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'HostSvc' = '<Полный путь к файлу>'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'UpdateHost' = '<Полный путь к файлу>'
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'HelperTask' = '<Полный путь к файлу>'
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'WinProc' = '<Полный путь к файлу>'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'AgentHost' = '<Полный путь к файлу>'
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'Loader32' = '<Полный путь к файлу>'
- [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'Load' = '<Полный путь к файлу>'
- [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'Run' = '<Полный путь к файлу>'
- [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "<Полный путь к файлу>"'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,,"<Полный путь к файлу>"'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'AppInit_DLLs' = '<Полный путь к файлу>'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe] 'Debugger' = '<Полный путь к файлу>'
- [HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{Helper32AgentAgent-lvrium}] 'StubPath' = '<Полный путь к файлу>'
- [HKCU\Environment] 'UserInitMprLogonScript' = '<Полный путь к файлу>'
- [HKCU\Software\Microsoft\Command Processor] 'AutoRun' = '<Полный путь к файлу>'
- [HKLM\SOFTWARE\Microsoft\Command Processor] 'AutoRun' = '<Полный путь к файлу>'
- [HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors\Sys64] 'Driver' = '<Полный путь к файлу>'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\wintask
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\RuntimeMgr] 'ImagePath' = '<Полный путь к файлу>'
- [HKLM\SYSTEM\CurrentControlSet\Services\RuntimeMgr] 'Start' = '00000002'
Создает следующие сервисы
- 'RuntimeMgr' <Полный путь к файлу>
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Set-MpPreference -DisableRealtimeMonitoring $true"
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\31
- %APPDATA%\hosttask.exe
- nul
- %HOMEPATH%\desktop\runtimecore.exe
- %HOMEPATH%\documents\updateproc.exe
- %HOMEPATH%\downloads\loadersvc.exe
- %APPDATA%\updatesvc.exe
- %LOCALAPPDATA%\update64.exe
- %TEMP%\agent32.exe
- %TEMP%\helperhelper.exe
- %TEMP%\winhelper.exe
- %WINDIR%\temp\host32.exe
- <SYSTEM32>\coremgr.exe
- %WINDIR%\syswow64\runtimeagent.exe
- %WINDIR%\netagent.exe
- %ALLUSERSPROFILE%\nettask.exe
- C:\msproc.exe
- C:\users\public\hostmgr.exe
- C:\users\public\desktop\wintask.exe
- %ProgramFiles%\nethelper.exe
- %ProgramFiles(x86)%\helpercore.exe
- <SYSTEM32>\config\systemprofile\appdata\roaming\runtimetask.exe
- <SYSTEM32>\config\systemprofile\appdata\local\agent64.exe
- %WINDIR%\serviceprofiles\localservice\desktop\net64.exe
- %WINDIR%\serviceprofiles\localservice\appdata\roaming\updatemonitor.exe
- %WINDIR%\serviceprofiles\localservice\appdata\local\winsvc.exe
- %WINDIR%\serviceprofiles\networkservice\desktop\sysmgr.exe
- %WINDIR%\serviceprofiles\networkservice\appdata\roaming\hostmgr.exe
- %WINDIR%\serviceprofiles\networkservice\appdata\local\mssvc.exe
- %HOMEPATH%\desktop\svchelper.exe
- %APPDATA%\svchelper.exe
- %LOCALAPPDATA%\svc32.exe
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6a40ac9f-e7c.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6a40aca6-10dc.pma
- %LOCALAPPDATA%\microsoft\edge\user data\default\manifest-000001
- %LOCALAPPDATA%\microsoft\edge\user data\default\000001.dbtmp
- %LOCALAPPDATA%\microsoft\edge\user data\default\manifest-000002
- %LOCALAPPDATA%\microsoft\edge\user data\default\000002.dbtmp
- %LOCALAPPDATA%\microsoft\edge\user data\default\log
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\index
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\data_0
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\data_2
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\data_3
- %LOCALAPPDATA%\microsoft\edge\user data\default\cookies-journal
- %LOCALAPPDATA%\microsoft\edge\user data\default\cookies
- %LOCALAPPDATA%\microsoft\edge\user data\default\session storage\manifest-000001
- %LOCALAPPDATA%\microsoft\edge\user data\default\session storage\000001.dbtmp
- %LOCALAPPDATA%\microsoft\edge\user data\default\shared_proto_db\metadata\manifest-000001
- %LOCALAPPDATA%\microsoft\edge\user data\default\shared_proto_db\metadata\000001.dbtmp
- %LOCALAPPDATA%\microsoft\edge\user data\default\shared_proto_db\metadata\log
- %LOCALAPPDATA%\microsoft\edge\user data\default\shared_proto_db\metadata\000003.log
- %LOCALAPPDATA%\microsoft\edge\user data\default\session storage\log
- %LOCALAPPDATA%\microsoft\edge\user data\default\session storage\000003.log
- %LOCALAPPDATA%\microsoft\edge\user data\default\cache\index
- %LOCALAPPDATA%\microsoft\edge\user data\default\cache\data_0
- %LOCALAPPDATA%\microsoft\edge\user data\default\cache\data_2
- %LOCALAPPDATA%\microsoft\edge\user data\default\cache\data_3
- %LOCALAPPDATA%\microsoft\edge\user data\default\reporting and nel-journal
- %LOCALAPPDATA%\microsoft\edge\user data\default\reporting and nel
- %LOCALAPPDATA%\microsoft\edge\user data\default\extension state\manifest-000001
- %LOCALAPPDATA%\microsoft\edge\user data\default\extension state\000001.dbtmp
- %LOCALAPPDATA%\microsoft\edge\user data\default\extension state\log
- %LOCALAPPDATA%\microsoft\edge\user data\default\heavy_ad_intervention_opt_out.db-journal
- %LOCALAPPDATA%\microsoft\edge\user data\default\heavy_ad_intervention_opt_out.db
- %LOCALAPPDATA%\microsoft\edge\user data\default\data_reduction_proxy_leveldb\manifest-000001
- %LOCALAPPDATA%\microsoft\edge\user data\default\data_reduction_proxy_leveldb\000001.dbtmp
- %LOCALAPPDATA%\microsoft\edge\user data\default\data_reduction_proxy_leveldb\manifest-000002
- %LOCALAPPDATA%\microsoft\edge\user data\default\data_reduction_proxy_leveldb\000002.dbtmp
- %LOCALAPPDATA%\microsoft\edge\user data\default\data_reduction_proxy_leveldb\log
- %LOCALAPPDATA%\microsoft\edge\user data\default\previews_opt_out.db-journal
- %LOCALAPPDATA%\microsoft\edge\user data\default\previews_opt_out.db
- %LOCALAPPDATA%\microsoft\edge\user data\default\shortcuts-journal
- %LOCALAPPDATA%\microsoft\edge\user data\default\shortcuts
Удаляет файлы, которые сам же создал
- %LOCALAPPDATA%\microsoft\edge\user data\default\manifest-000001
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6a40ac9f-e7c.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6a40aca6-10dc.pma
- %LOCALAPPDATA%\microsoft\edge\user data\default\data_reduction_proxy_leveldb\manifest-000001
Перемещает следующие файлы
- %LOCALAPPDATA%\microsoft\edge\user data\default\000001.dbtmp в %LOCALAPPDATA%\microsoft\edge\user data\default\current
- %LOCALAPPDATA%\microsoft\edge\user data\default\shared_proto_db\metadata\000001.dbtmp в %LOCALAPPDATA%\microsoft\edge\user data\default\shared_proto_db\metadata\current
- %LOCALAPPDATA%\microsoft\edge\user data\default\session storage\000001.dbtmp в %LOCALAPPDATA%\microsoft\edge\user data\default\session storage\current
- %LOCALAPPDATA%\microsoft\edge\user data\default\extension state\000001.dbtmp в %LOCALAPPDATA%\microsoft\edge\user data\default\extension state\current
- %LOCALAPPDATA%\microsoft\edge\user data\default\data_reduction_proxy_leveldb\000001.dbtmp в %LOCALAPPDATA%\microsoft\edge\user data\default\data_reduction_proxy_leveldb\current
Изменяет следующие файлы
- %LOCALAPPDATA%\microsoft\edge\user data\last version
- %LOCALAPPDATA%\microsoft\edge\user data\default\site characteristics database\log
- %LOCALAPPDATA%\microsoft\edge\user data\default\sync data\leveldb\log
- %LOCALAPPDATA%\microsoft\edge\user data\default\sync data\leveldb\000003.log
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data-journal
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
- %LOCALAPPDATA%\microsoft\tokenbroker\cache\9cd93bc6dcf544bae69531052e64647ec02f2bb4.tbres
Подменяет следующие файлы
- %LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Local Storage\leveldb\LOG
- %LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Platform Notifications\LOG
Сетевая активность
Подключается к
- 'ap#.#pify.org':443
- 'ca####.discord.com':443
- 'co####.edge.skype.com':443
- 'yo##ube.com':443
TCP
Другие
- 'ap#.#pify.org':443
- 'ca####.discord.com':443
- 'co####.edge.skype.com':443
- 'yo##ube.com':443
UDP
- DNS ASK ap#.#pify.org
- DNS ASK ca####.discord.com
- DNS ASK co####.edge.skype.com
- DNS ASK yo##ube.com
Другое
Ищет следующие окна
- ClassName: 'Chrome_MessageWindow' WindowName: '%LOCALAPPDATA%\Microsoft\Edge\User Data'
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c powershell -Command "Set-MpPreference -DisableRealtimeMonitoring $true" 2>nul (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc config WinDefend start=disabled 2>nul (со скрытым окном)
- '<SYSTEM32>\sc.exe' config WinDefend start=disabled
- '<SYSTEM32>\cmd.exe' /c sc stop WinDefend 2>nul (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop WinDefend
- '<SYSTEM32>\cmd.exe' /c vssadmin delete shadows /all /quiet 2>nul (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c schtasks /Create /F /SC ONLOGON /TN "WinTask" /TR "\"%APPDATA%\HostTask.exe\"" /RL HIGHEST (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Create /F /SC ONLOGON /TN "WinTask" /TR "\"%APPDATA%\HostTask.exe\"" /RL HIGHEST
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --single-argument https://www.youtube.com/watch?v=H_WN-xTp7oU
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --flag-switches-begin --flag-switches-end --do-not-de-elevate https://www.youtube.com/watch?v=H_WN-xTp7oU (со скрытым окном)
- '%ProgramFiles(x86)%\microsoft\edge\application\89.0.774.68\identity_helper.exe' --type=utility --utility-sub-type=winrt_app_id.mojom.WinrtAppIdService --field-trial-handle=1788,7139935980238298028,3639575150979789286,131072 --lang=en-US --service-sandbox-type=none --mojo-p...
