Техническая информация
Отработавшее пользовательское сигма правило:
- 20f0ee37-5942-4e45-b7d5-c5b5db9df5cd
- 28208707-fe31-437f-9a7f-4b1108b94d2e
- 2aa0a6b4-a865-495b-ab51-c28249537b75
- 24c8392b-aa3c-46b7-a545-43f71657fe98
- 92626ddd-662c-49e3-ac59-f6535f12d189
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'SecurityRuntime' = '"<Полный путь к файлу>"'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\securityruntime.vbs
- <SYSTEM32>\tasks\securityruntime
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\skelya_agent_bootstrap.log
- <Текущая директория>\autostart_ok.txt
- <Текущая директория>\skelya_agent.log
- <Текущая директория>\skelya_agent_lifecycle.log
- %TEMP%\skelya_agent_lifecycle.log
- <Текущая директория>\server_connection.txt
- <Текущая директория>\skelya_cf_bootstrap.log
- <Текущая директория>\skelya_node_id.txt
Сетевая активность
UDP
- DNS ASK ag###.#ishdevelop.uk
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c schtasks.exe /Create /TN "SecurityRuntime" /TR "\"<Полный путь к файлу>\"" /SC ONLOGON /RL LIMITED /F (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Create /TN "SecurityRuntime" /TR "\"<Полный путь к файлу>\"" /SC ONLOGON /RL LIMITED /F
- '<Полный путь к файлу>' --watch-parent 1568 (со скрытым окном)
