Техническая информация
Отработавшее пользовательское сигма правило:
- d5866ddf-ce8f-4aea-b28e-d96485a20d3d
- 20f0ee37-5942-4e45-b7d5-c5b5db9df5cd
- 3669afd2-9891-4534-a626-e5cf03810a61
- 16a4c7b3-4681-49d0-8d58-3e9b796dcb43
- 02ee49e2-e294-4d0f-9278-f5b3212fc588
- a1a144b7-5c9b-4853-a559-2172be8d4a03
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'OneDriveSync' = '%TEMP%\373AB7E339A44101A676.exe'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'OneDriveSync' = '%TEMP%\poy9ie13.exe'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdateSvc' = '%APPDATA%\ntsvcefo.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\windows security checks
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\helppane.exe
- <SYSTEM32>\sihost.exe
- <SYSTEM32>\taskhostw.exe
- %WINDIR%\explorer.exe
- <SYSTEM32>\runtimebroker.exe
- <SYSTEM32>\notepad.exe
следующие пользовательские процессы:
- msedge.exe
Патчит код
в динамической библиотеке AMSI
- Процесс 22063c0e3cf1462f8265.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс 22063c0e3cf1462f8265.exe, модуль ntdll.dll
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [HKCU\Software\Martin Prikryl\WinSCP 2\Sessions]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
- %APPDATA%\mozilla\firefox\profiles.ini
- %HOMEPATH%\desktop\contosoroot_1.cer
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\weeklysheet1215.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\62c2c59cd9d648beb6ed.exe
- %TEMP%\373ab7e339a44101a676.exe
- %TEMP%\22063c0e3cf1462f8265.exe
- %APPDATA%\microsoft\windows\services\wlrmdr.exe
- %TEMP%\a783e7cec34d4e4fb2ef.exe
- %TEMP%\is-ablc8ajjrq.tmp\62c2c59cd9d648beb6ed.tmp
- %TEMP%\is-7adsbwmiin.tmp\_isetup\_isdecmp.dll
- %TEMP%\is-qgsjhvxq7c.tmp\a783e7cec34d4e4fb2ef.tmp
- %TEMP%\is-swpt0kdeh4.tmp\_isetup\_setup64.tmp
- %TEMP%\is-swpt0kdeh4.tmp\_isetup\_isdecmp.dll
- %TEMP%\poy9ie13.exe
- %TEMP%\81lt2267.exe
- %TEMP%\is-0kvdrjy2a9.tmp\81lt2267.tmp
- %TEMP%\is-d7xe7oaotc.tmp\_isetup\_setup64.tmp
- %TEMP%\is-d7xe7oaotc.tmp\_isetup\_isdecmp.dll
- %TEMP%\85xc9pta.exe
- %APPDATA%\ntsvcefo.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\microsoft\windows\services\wlrmdr.exe
- %TEMP%\poy9ie13.exe
- %TEMP%\81lt2267.exe
- %APPDATA%\ntsvcefo.exe
Изменяет следующие файлы
Сетевая активность
Подключается к
- '19#.#62.199.186':80
- '62.##.226.232':80
- '19#.#51.107.186':80
TCP
Запросы HTTP GET
- http://62.##.226.232/2.7.exe
- http://62.##.226.232/clp.exe
Запросы HTTP POST
- http://19#.#62.199.186/zpzp/get.php?ui######################################################
- http://19#.#62.199.186/zpzp/get.php?ui#################################################################################
- http://19#.#62.199.186/zpzp/get.php?ui#######################################################
- http://19#.#62.199.186/zpzp/get.php?ui##############################################################
UDP
- DNS ASK ue###############wg0kueyiscwgqaueo8scm6qak4oyi2mwg0kueyisc.com
Другое
Создает и запускает на исполнение
- '%TEMP%\22063c0e3cf1462f8265.exe'
- '%TEMP%\373ab7e339a44101a676.exe'
- '%TEMP%\62c2c59cd9d648beb6ed.exe'
- '%TEMP%\is-ablc8ajjrq.tmp\62c2c59cd9d648beb6ed.tmp' /SL5="$F02A8,4057916,1011712,%TEMP%\62C2C59CD9D648BEB6ED.exe"
- '%TEMP%\a783e7cec34d4e4fb2ef.exe'
- '%TEMP%\is-qgsjhvxq7c.tmp\a783e7cec34d4e4fb2ef.tmp' /SL5="$D015C,2775941,905728,%TEMP%\A783E7CEC34D4E4FB2EF.exe"
- '%TEMP%\poy9ie13.exe'
- '%TEMP%\81lt2267.exe'
- '%TEMP%\is-0kvdrjy2a9.tmp\81lt2267.tmp' /SL5="$C013C,2775941,905728,%TEMP%\81lt2267.exe"
- '%TEMP%\85xc9pta.exe'
Запускает на исполнение
- '%WINDIR%\helppane.exe'
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --no-sandbox
- '<SYSTEM32>\cmd.exe' /c "netsh wlan export profile key=clear folder="%TEMP%\dia_wifi_tmp\" 2>nul" (со скрытым окном)
- '<SYSTEM32>\netsh.exe' wlan export profile key=clear folder="%TEMP%\dia_wifi_tmp\"
- '<SYSTEM32>\notepad.exe' (со скрытым окном)
- '%TEMP%\22063c0e3cf1462f8265.exe' (со скрытым окном)
- '%TEMP%\373ab7e339a44101a676.exe' (со скрытым окном)
- '%TEMP%\62c2c59cd9d648beb6ed.exe' (со скрытым окном)
- '%TEMP%\a783e7cec34d4e4fb2ef.exe' (со скрытым окном)
