Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\EBCUULYK] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\EBCUULYK] 'ImagePath' = '%ALLUSERSPROFILE%\uwjrnezfpsok\egevepjzhmyw.exe'
- [HKLM\SYSTEM\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%WINDIR%\TEMP\ftbvcfuqyzgq.sys'
Создает следующие сервисы
- 'EBCUULYK' %ALLUSERSPROFILE%\uwjrnezfpsok\egevepjzhmyw.exe
- 'WinRing0_1_2_0' %WINDIR%\TEMP\ftbvcfuqyzgq.sys
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Журнал событий Windows (Windows Event Logging)
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\conhost.exe
- <SYSTEM32>\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\launcher_3483975461\7z.dll
- %TEMP%\launcher_3483975461\7z.exe
- %TEMP%\launcher_3483975461\file.bin
- %TEMP%\launcher_3483975461\main.bat
- nul
- %TEMP%\launcher_3483975461\extracted\file_8.zip
- %TEMP%\launcher_3483975461\extracted\antiav.data
- %TEMP%\launcher_3483975461\extracted\file_7.zip
- %TEMP%\launcher_3483975461\extracted\file_6.zip
- %TEMP%\launcher_3483975461\extracted\file_5.zip
- %TEMP%\launcher_3483975461\extracted\file_4.zip
- %TEMP%\launcher_3483975461\extracted\file_3.zip
- %TEMP%\launcher_3483975461\extracted\file_2.zip
- %TEMP%\launcher_3483975461\extracted\file_1.zip
- %TEMP%\launcher_3483975461\extracted\setup.exe
- %ALLUSERSPROFILE%\uwjrnezfpsok\egevepjzhmyw.exe
- %WINDIR%\temp\__psscriptpolicytest_swwe3uml.02j.ps1
- %WINDIR%\temp\__psscriptpolicytest_x15fh320.s00.psm1
- %WINDIR%\temp\content\3460-4356-powershell.exe-10-23-03-596.dump
- %WINDIR%\temp\content\3460-4356-powershell.exe-10-23-03-978.dump
- %WINDIR%\temp\content\3460-4356-powershell.exe-10-23-04-167.dump
- %WINDIR%\temp\content\3460-4356-powershell.exe-10-23-04-396.dump
- %WINDIR%\temp\content\3460-4356-powershell.exe-10-23-04-450.dump
- %WINDIR%\temp\__psscriptpolicytest_wmagwg4m.0nh.ps1
- %WINDIR%\temp\__psscriptpolicytest_gl4qcqq0.nj3.psm1
- %WINDIR%\temp\content\3460-4356-powershell.exe-10-23-04-760.dump
- %WINDIR%\temp\content\3460-4356-powershell.exe-10-23-04-806.dump
- %WINDIR%\temp\content\3460-4356-powershell.exe-10-23-04-901.dump
- %WINDIR%\temp\content\3460-4356-powershell.exe-10-23-05-079.dump
- %WINDIR%\temp\content\3460-4356-powershell.exe-10-23-05-277.dump
- %WINDIR%\temp\content\3460-4356-powershell.exe-10-23-05-441.dump
- %WINDIR%\temp\content\3460-4356-powershell.exe-10-23-05-649.dump
- %WINDIR%\temp\content\3460-4356-powershell.exe-10-23-05-723.dump
- %WINDIR%\temp\content\3460-4356-powershell.exe-10-23-05-769.dump
- %WINDIR%\temp\content\3460-4356-powershell.exe-10-23-05-831.dump
- %WINDIR%\temp\content\3460-4356-powershell.exe-10-23-05-878.dump
- %WINDIR%\temp\content\3460-4356-powershell.exe-10-23-05-932.dump
- %WINDIR%\temp\content\3460-4356-powershell.exe-10-23-06-001.dump
- %WINDIR%\temp\content\3460-4356-powershell.exe-10-23-07-015.dump
- %WINDIR%\temp\content\3460-4356-powershell.exe-10-23-07-120.dump
- %WINDIR%\temp\content\3460-4356-powershell.exe-10-23-07-175.dump
- %WINDIR%\temp\content\3460-4356-powershell.exe-10-23-07-183.dump
- %WINDIR%\temp\content\3460-4356-powershell.exe-10-23-07-185.dump
- %WINDIR%\temp\content\3460-4356-powershell.exe-10-23-07-238.dump
- %WINDIR%\temp\content\3460-4356-powershell.exe-10-23-07-279.dump
- %WINDIR%\temp\content\3460-4356-powershell.exe-10-23-07-448.dump
- <SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive
- %WINDIR%\temp\ftbvcfuqyzgq.sys
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\launcher_3483975461\setup.exe
Удаляет файлы, которые сам же создал
- %TEMP%\launcher_3483975461\7z.dll
- %TEMP%\launcher_3483975461\7z.exe
- %TEMP%\launcher_3483975461\file.bin
- %TEMP%\launcher_3483975461\main.bat
- %TEMP%\launcher_3483975461\setup.exe
- %WINDIR%\temp\__psscriptpolicytest_swwe3uml.02j.ps1
- %WINDIR%\temp\__psscriptpolicytest_x15fh320.s00.psm1
- %WINDIR%\temp\__psscriptpolicytest_wmagwg4m.0nh.ps1
- %WINDIR%\temp\__psscriptpolicytest_gl4qcqq0.nj3.psm1
Перемещает следующие файлы
- %TEMP%\launcher_3483975461\file.bin в %TEMP%\launcher_3483975461\file.zip
- %TEMP%\launcher_3483975461\extracted\setup.exe в %TEMP%\launcher_3483975461\setup.exe
Подменяет следующие файлы
- %TEMP%\launcher_3483975461\file.bin
Сетевая активность
Подключается к
- 'po##.#ashvault.pro':443
- 'pa###bin.com':443
TCP
Другие
- 'po##.#ashvault.pro':443
- 'pa###bin.com':443
UDP
- DNS ASK po##.#ashvault.pro
- DNS ASK pa###bin.com
Другое
Создает и запускает на исполнение
- '%TEMP%\launcher_3483975461\7z.exe' e file.zip -p3947168121752828826283727051 -oextracted
- '%TEMP%\launcher_3483975461\7z.exe' e extracted/file_8.zip -oextracted
- '%TEMP%\launcher_3483975461\7z.exe' e extracted/file_7.zip -oextracted
- '%TEMP%\launcher_3483975461\7z.exe' e extracted/file_6.zip -oextracted
- '%TEMP%\launcher_3483975461\7z.exe' e extracted/file_5.zip -oextracted
- '%TEMP%\launcher_3483975461\7z.exe' e extracted/file_4.zip -oextracted
- '%TEMP%\launcher_3483975461\7z.exe' e extracted/file_3.zip -oextracted
- '%TEMP%\launcher_3483975461\7z.exe' e extracted/file_2.zip -oextracted
- '%TEMP%\launcher_3483975461\7z.exe' e extracted/file_1.zip -oextracted
- '%TEMP%\launcher_3483975461\setup.exe'
- '%ALLUSERSPROFILE%\uwjrnezfpsok\egevepjzhmyw.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C %TEMP%\launcher_3483975461\main.bat (со скрытым окном)
- '<SYSTEM32>\mode.com' 65,10
- '<SYSTEM32>\attrib.exe' +H "Setup.exe"
- '<SYSTEM32>\cmd.exe' /c wusa /uninstall /kb:890830 /quiet /norestart
- '<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
- '<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
- '<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
- '<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
- '<SYSTEM32>\sc.exe' delete "EBCUULYK"
- '<SYSTEM32>\wusa.exe' /uninstall /kb:890830 /quiet /norestart
- '<SYSTEM32>\sc.exe' create "EBCUULYK" binpath= "%ALLUSERSPROFILE%\uwjrnezfpsok\egevepjzhmyw.exe" start= "auto"
- '<SYSTEM32>\sc.exe' stop eventlog
- '<SYSTEM32>\sc.exe' start "EBCUULYK"
- '<SYSTEM32>\conhost.exe'
- '<SYSTEM32>\svchost.exe'
