Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'AbyssNet' = '%WINDIR%\Performance\WinSAT\Abyss.exe'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -ExecutionPolicy Bypass -Command "Add-MpPreference -ExclusionPath '%WINDIR%\Performance\WinSAT\Abyss.exe'"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -ExecutionPolicy Bypass -Command "Add-MpPreference -ExclusionPath '%LOCALAPPDATA%\CrashDumps\Abyss.exe'"
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="AbyssNetCore" dir=in action=allow program="%WINDIR%\Performance\WinSAT\Abyss.exe" enable=yes
Патчит код
в динамической библиотеке AMSI
- Процесс lxqnjp.exe, модуль Amsi.dll
- Процесс abyss.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс lxqnjp.exe, модуль ntdll.dll
- Процесс abyss.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\performance\winsat\abyss.exe
- %LOCALAPPDATA%\crashdumps\abyss.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %WINDIR%\performance\winsat\abyss.exe
- %LOCALAPPDATA%\crashdumps\abyss.exe
Сетевая активность
Подключается к
- 'yo###domain.com':443
- 'x1.#.lencr.org':80
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Другие
- 'yo###domain.com':443
UDP
- DNS ASK yo###domain.com
- DNS ASK x1.#.lencr.org
Другое
Создает и запускает на исполнение
- '%WINDIR%\performance\winsat\abyss.exe'
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /f /sc minute /mo 5 /tn "AbyssNetCore" /tr "%WINDIR%\Performance\WinSAT\Abyss.exe" /RL HIGHEST & exit
- '<SYSTEM32>\schtasks.exe' /create /f /sc minute /mo 5 /tn "AbyssNetWatchdog" /tr "%LOCALAPPDATA%\CrashDumps\Abyss.exe" /RL HIGHEST & exit
