Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\EventClient] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\EventClient] 'ImagePath' = 'cmd /c cd /d "C:\Drivers\f7NHqx" && start "" "C:\Drivers\f7NHqx\7wwhdEe.exe"'
Создает следующие сервисы
- 'EventClient' cmd /c cd /d "C:\Drivers\f7NHqx" && start "" "C:\Drivers\f7NHqx\7wwhdEe.exe"
Вредоносные функции
Запускает большое число процессов
Патчит код
в динамической библиотеке
- Процесс 7wwhdee.exe, модуль AEPIC.dll
- Процесс 7wwhdee.exe, модуль apphelp.dll
Перехватывает управление с помощью отладочных регистров
в динамической библиотеке AMSI
- Процесс 7wwhdee.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс 7wwhdee.exe, модуль ntdll.dll
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-9if1h.tmp\<Имя файла>.tmp
- %TEMP%\is-s4san.tmp\_isetup\_setup64.tmp
- C:\drivers\f7nhqx\is-psmk8.tmp
- C:\drivers\f7nhqx\is-nrq74.tmp
- C:\drivers\f7nhqx\is-jaklp.tmp
- C:\drivers\f7nhqx\is-ldbgc.tmp
- C:\drivers\f7nhqx\is-jf2bg.tmp
- C:\drivers\f7nhqx\is-aqk2d.tmp
- C:\drivers\f7nhqx\is-7qi17.tmp
- C:\drivers\f7nhqx\is-ndaof.tmp
- C:\drivers\f7nhqx\is-ifsv1.tmp
- C:\drivers\f7nhqx\is-8egr1.tmp
- C:\drivers\q6gcr\is-73of9.tmp
- C:\drivers\log.txt
Удаляет файлы, которые сам же создал
- %TEMP%\is-s4san.tmp\_isetup\_setup64.tmp
- %TEMP%\is-9if1h.tmp\<Имя файла>.tmp
Перемещает следующие файлы
- C:\drivers\f7nhqx\is-psmk8.tmp в C:\drivers\f7nhqx\7wwhdee.exe
- C:\drivers\f7nhqx\is-nrq74.tmp в C:\drivers\f7nhqx\bnrjir.wale
- C:\drivers\f7nhqx\is-jaklp.tmp в C:\drivers\f7nhqx\dj7nr.vbyc
- C:\drivers\f7nhqx\is-ldbgc.tmp в C:\drivers\f7nhqx\k3dg3zgb.wiyd
- C:\drivers\f7nhqx\is-jf2bg.tmp в C:\drivers\f7nhqx\msvcp140.dll
- C:\drivers\f7nhqx\is-aqk2d.tmp в C:\drivers\f7nhqx\msvcp140_1.dll
- C:\drivers\f7nhqx\is-7qi17.tmp в C:\drivers\f7nhqx\npvt.ajs
- C:\drivers\f7nhqx\is-ndaof.tmp в C:\drivers\f7nhqx\vcruntime140.dll
- C:\drivers\f7nhqx\is-ifsv1.tmp в C:\drivers\f7nhqx\vcruntime140_1.dll
- C:\drivers\f7nhqx\is-8egr1.tmp в C:\drivers\f7nhqx\wemeet_base.dll
- C:\drivers\q6gcr\is-73of9.tmp в C:\drivers\q6gcr\d.kk
Другое
Создает и запускает на исполнение
- '%TEMP%\is-9if1h.tmp\<Имя файла>.tmp' /SL5="$1101EC,11404827,832512,<Полный путь к файлу>"
- 'C:\drivers\f7nhqx\7wwhdee.exe'
Запускает на исполнение
- '<SYSTEM32>\sc.exe' create EventClient binPath= "cmd /c cd /d \"C:\Drivers\f7NHqx\" && start \"\" \"C:\Drivers\f7NHqx\7wwhdEe.exe\"" start= auto (со скрытым окном)
- '<SYSTEM32>\sc.exe' failure EventClient reset= 0 actions= restart/1000 (со скрытым окном)
- '<SYSTEM32>\sc.exe' start EventClient (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c cd /d "C:\Drivers\f7NHqx" && start "" "C:\Drivers\f7NHqx\7wwhdEe.exe"
- '<SYSTEM32>\sc.exe' start VSS (со скрытым окном)
