Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\WindowsController] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\WindowsController] 'ImagePath' = 'cmd /c cd /d "C:\Drivers\DZU9Q" && start "" "C:\Drivers\DZU9Q\t4TXT830La.exe"'
Создает следующие сервисы
- 'WindowsController' cmd /c cd /d "C:\Drivers\DZU9Q" && start "" "C:\Drivers\DZU9Q\t4TXT830La.exe"
Вредоносные функции
Запускает большое число процессов
Патчит код
в динамической библиотеке
- Процесс t4txt830la.exe, модуль apphelp.dll
в динамической библиотеке AMSI
- Процесс t4txt830la.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс t4txt830la.exe, модуль ntdll.dll
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-3m5tj.tmp\<Имя файла>.tmp
- %TEMP%\is-25idi.tmp\_isetup\_setup64.tmp
- C:\drivers\dzu9q\is-6apse.tmp
- C:\drivers\dzu9q\is-chii2.tmp
- C:\drivers\dzu9q\is-l5mmh.tmp
- C:\drivers\dzu9q\is-l5v61.tmp
- C:\drivers\dzu9q\is-uikht.tmp
- C:\drivers\dzu9q\is-9gu4e.tmp
- C:\drivers\sck2me\is-m2fld.tmp
- C:\drivers\log.txt
Удаляет файлы, которые сам же создал
- %TEMP%\is-25idi.tmp\_isetup\_setup64.tmp
- %TEMP%\is-3m5tj.tmp\<Имя файла>.tmp
Перемещает следующие файлы
- C:\drivers\dzu9q\is-6apse.tmp в C:\drivers\dzu9q\4sciivldmq.qw
- C:\drivers\dzu9q\is-chii2.tmp в C:\drivers\dzu9q\dxgi.dll
- C:\drivers\dzu9q\is-l5mmh.tmp в C:\drivers\dzu9q\fvouwoytm.mes
- C:\drivers\dzu9q\is-l5v61.tmp в C:\drivers\dzu9q\r2fplbrsip.taru
- C:\drivers\dzu9q\is-uikht.tmp в C:\drivers\dzu9q\rc6u1fl8atx.ew
- C:\drivers\dzu9q\is-9gu4e.tmp в C:\drivers\dzu9q\t4txt830la.exe
- C:\drivers\sck2me\is-m2fld.tmp в C:\drivers\sck2me\123.png
Другое
Создает и запускает на исполнение
- '%TEMP%\is-3m5tj.tmp\<Имя файла>.tmp' /SL5="$C01D2,10965422,832512,<Полный путь к файлу>"
- 'C:\drivers\dzu9q\t4txt830la.exe'
Запускает на исполнение
- '<SYSTEM32>\sc.exe' create WindowsController binPath= "cmd /c cd /d \"C:\Drivers\DZU9Q\" && start \"\" \"C:\Drivers\DZU9Q\t4TXT830La.exe\"" start= auto (со скрытым окном)
- '<SYSTEM32>\sc.exe' failure WindowsController reset= 0 actions= restart/1000 (со скрытым окном)
- '<SYSTEM32>\sc.exe' start WindowsController (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c cd /d "C:\Drivers\DZU9Q" && start "" "C:\Drivers\DZU9Q\t4TXT830La.exe"
- '<SYSTEM32>\sc.exe' start VSS (со скрытым окном)
