Техническая информация
Отработавшее пользовательское сигма правило:
- ccb5742c-c248-4982-8c5c-5571b9275ad3
- 66d31e5f-52d6-40a4-9615-002d3789a119
- 2aa0a6b4-a865-495b-ab51-c28249537b75
- f4bbd493-b796-416e-bbf2-121235348529
- 297ae038-edc2-4b2e-bb3e-7c5fc94dd5c7
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\ret.exe
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- ret.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsp4766.tmp\system.dll
- %TEMP%\nsp4766.tmp\stdutils.dll
- %TEMP%\nsp4766.tmp\spiderbanner.dll
- %TEMP%\nsp4766.tmp\nsexec.dll
- %TEMP%\nsp4766.tmp\app-64.7z
- %TEMP%\nsp4766.tmp\nsis7z.dll
- %TEMP%\nsp4766.tmp\7z-out\chrome_100_percent.pak
- %TEMP%\nsp4766.tmp\7z-out\chrome_200_percent.pak
- %TEMP%\nsp4766.tmp\7z-out\icudtl.dat
- %TEMP%\nsp4766.tmp\7z-out\license.electron.txt
- %TEMP%\nsp4766.tmp\7z-out\licenses.chromium.html
- %TEMP%\nsp4766.tmp\7z-out\locales\af.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\am.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\ar.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\bg.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\bn.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\ca.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\cs.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\da.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\de.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\el.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\en-gb.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\en-us.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\es-419.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\es.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\et.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\fa.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\fi.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\fil.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\fr.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\gu.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\he.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\hi.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\hr.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\hu.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\id.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\it.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\ja.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\kn.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\ko.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\lt.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\lv.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\ml.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\mr.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\ms.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\nb.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\nl.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\pl.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\pt-br.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\pt-pt.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\ro.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\ru.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\sk.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\sl.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\sr.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\sv.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\sw.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\ta.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\te.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\th.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\tr.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\uk.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\ur.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\vi.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\zh-cn.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\zh-tw.pak
- %TEMP%\nsp4766.tmp\7z-out\resources\app.asar
- %TEMP%\nsp4766.tmp\7z-out\resources.pak
- %TEMP%\nsp4766.tmp\7z-out\snapshot_blob.bin
- %TEMP%\nsp4766.tmp\7z-out\v8_context_snapshot.bin
- %TEMP%\nsp4766.tmp\7z-out\vk_swiftshader_icd.json
- %TEMP%\nsp4766.tmp\7z-out\d3dcompiler_47.dll
- %TEMP%\nsp4766.tmp\7z-out\ffmpeg.dll
- %TEMP%\nsp4766.tmp\7z-out\libegl.dll
- %TEMP%\nsp4766.tmp\7z-out\libglesv2.dll
- %TEMP%\nsp4766.tmp\7z-out\resources\elevate.exe
- %TEMP%\nsp4766.tmp\7z-out\ret.exe
- %TEMP%\nsp4766.tmp\7z-out\vk_swiftshader.dll
- %TEMP%\nsp4766.tmp\7z-out\vulkan-1.dll
- %LOCALAPPDATA%\programs\ret\chrome_100_percent.pak
- %LOCALAPPDATA%\programs\ret\chrome_200_percent.pak
- %LOCALAPPDATA%\programs\ret\d3dcompiler_47.dll
- %LOCALAPPDATA%\programs\ret\ffmpeg.dll
- %LOCALAPPDATA%\programs\ret\icudtl.dat
- %LOCALAPPDATA%\programs\ret\libegl.dll
- %LOCALAPPDATA%\programs\ret\libglesv2.dll
- %LOCALAPPDATA%\programs\ret\license.electron.txt
- %LOCALAPPDATA%\programs\ret\licenses.chromium.html
- %LOCALAPPDATA%\programs\ret\resources.pak
- %LOCALAPPDATA%\programs\ret\ret.exe
- %LOCALAPPDATA%\programs\ret\snapshot_blob.bin
- %LOCALAPPDATA%\programs\ret\v8_context_snapshot.bin
- %LOCALAPPDATA%\programs\ret\vk_swiftshader.dll
- %LOCALAPPDATA%\programs\ret\vk_swiftshader_icd.json
- %LOCALAPPDATA%\programs\ret\vulkan-1.dll
- %LOCALAPPDATA%\programs\ret\locales\af.pak
- %LOCALAPPDATA%\programs\ret\locales\am.pak
- %LOCALAPPDATA%\programs\ret\locales\ar.pak
- %LOCALAPPDATA%\programs\ret\locales\bg.pak
- %LOCALAPPDATA%\programs\ret\locales\bn.pak
- %LOCALAPPDATA%\programs\ret\locales\ca.pak
- %LOCALAPPDATA%\programs\ret\locales\cs.pak
- %LOCALAPPDATA%\programs\ret\locales\da.pak
- %LOCALAPPDATA%\programs\ret\locales\de.pak
- %LOCALAPPDATA%\programs\ret\locales\el.pak
- %LOCALAPPDATA%\programs\ret\locales\en-gb.pak
- %LOCALAPPDATA%\programs\ret\locales\en-us.pak
- %LOCALAPPDATA%\programs\ret\locales\es-419.pak
- %LOCALAPPDATA%\programs\ret\locales\es.pak
- %LOCALAPPDATA%\programs\ret\locales\et.pak
- %LOCALAPPDATA%\programs\ret\locales\fa.pak
- %LOCALAPPDATA%\programs\ret\locales\fi.pak
- %LOCALAPPDATA%\programs\ret\locales\fil.pak
- %LOCALAPPDATA%\programs\ret\locales\fr.pak
- %LOCALAPPDATA%\programs\ret\locales\gu.pak
- %LOCALAPPDATA%\programs\ret\locales\he.pak
- %LOCALAPPDATA%\programs\ret\locales\hi.pak
- %LOCALAPPDATA%\programs\ret\locales\hr.pak
- %LOCALAPPDATA%\programs\ret\locales\hu.pak
- %LOCALAPPDATA%\programs\ret\locales\id.pak
- %LOCALAPPDATA%\programs\ret\locales\it.pak
- %LOCALAPPDATA%\programs\ret\locales\ja.pak
- %LOCALAPPDATA%\programs\ret\locales\kn.pak
- %LOCALAPPDATA%\programs\ret\locales\ko.pak
- %LOCALAPPDATA%\programs\ret\locales\lt.pak
- %LOCALAPPDATA%\programs\ret\locales\lv.pak
- %LOCALAPPDATA%\programs\ret\locales\ml.pak
- %LOCALAPPDATA%\programs\ret\locales\mr.pak
- %LOCALAPPDATA%\programs\ret\locales\ms.pak
- %LOCALAPPDATA%\programs\ret\locales\nb.pak
- %LOCALAPPDATA%\programs\ret\locales\nl.pak
- %LOCALAPPDATA%\programs\ret\locales\pl.pak
- %LOCALAPPDATA%\programs\ret\locales\pt-br.pak
- %LOCALAPPDATA%\programs\ret\locales\pt-pt.pak
- %LOCALAPPDATA%\programs\ret\locales\ro.pak
- %LOCALAPPDATA%\programs\ret\locales\ru.pak
- %LOCALAPPDATA%\programs\ret\locales\sk.pak
- %LOCALAPPDATA%\programs\ret\locales\sl.pak
- %LOCALAPPDATA%\programs\ret\locales\sr.pak
- %LOCALAPPDATA%\programs\ret\locales\sv.pak
- %LOCALAPPDATA%\programs\ret\locales\sw.pak
- %LOCALAPPDATA%\programs\ret\locales\ta.pak
- %LOCALAPPDATA%\programs\ret\locales\te.pak
- %LOCALAPPDATA%\programs\ret\locales\th.pak
- %LOCALAPPDATA%\programs\ret\locales\tr.pak
- %LOCALAPPDATA%\programs\ret\locales\uk.pak
- %LOCALAPPDATA%\programs\ret\locales\ur.pak
- %LOCALAPPDATA%\programs\ret\locales\vi.pak
- %LOCALAPPDATA%\programs\ret\locales\zh-cn.pak
- %LOCALAPPDATA%\programs\ret\locales\zh-tw.pak
- %LOCALAPPDATA%\programs\ret\resources\app.asar
- %LOCALAPPDATA%\programs\ret\resources\elevate.exe
- %LOCALAPPDATA%\ret-updater\installer.exe
- %LOCALAPPDATA%\programs\ret\uninstall ret.exe
- %APPDATA%\microsoft\windows\start menu\programs\ret.lnk
- %TEMP%\nsp4766.tmp\winshell.dll
- %HOMEPATH%\desktop\ret.lnk
- %TEMP%\c1b6efcf-f7d6-4be2-a89c-f1062a835319.tmp.node
- %TEMP%\38720556-13a2-47c1-b8ba-13cbd19b65d9.tmp.node
- nul
- %LOCALAPPDATA%\c6291b5cf781fffc168ec95ff8e8dd7e\cookies.zip
- %APPDATA%\ret\gpucache\index
- %APPDATA%\ret\gpucache\data_0
- %APPDATA%\ret\gpucache\data_1
- %APPDATA%\ret\gpucache\data_2
- %APPDATA%\ret\gpucache\data_3
- %APPDATA%\ret\dawncache\index
- %APPDATA%\ret\dawncache\data_0
- %APPDATA%\ret\dawncache\data_1
- %APPDATA%\ret\dawncache\data_2
- %APPDATA%\ret\dawncache\data_3
- %APPDATA%\ret\cache\cache_data\index
- %APPDATA%\ret\cache\cache_data\data_0
- %APPDATA%\ret\cache\cache_data\data_1
- %APPDATA%\ret\cache\cache_data\data_2
- %APPDATA%\ret\cache\cache_data\data_3
Удаляет файлы, которые сам же создал
- %TEMP%\nsp4766.tmp\7z-out\chrome_100_percent.pak
- %TEMP%\nsp4766.tmp\7z-out\chrome_200_percent.pak
- %TEMP%\nsp4766.tmp\7z-out\d3dcompiler_47.dll
- %TEMP%\nsp4766.tmp\7z-out\ffmpeg.dll
- %TEMP%\nsp4766.tmp\7z-out\icudtl.dat
- %TEMP%\nsp4766.tmp\7z-out\libegl.dll
- %TEMP%\nsp4766.tmp\7z-out\libglesv2.dll
- %TEMP%\nsp4766.tmp\7z-out\license.electron.txt
- %TEMP%\nsp4766.tmp\7z-out\licenses.chromium.html
- %TEMP%\nsp4766.tmp\7z-out\locales\af.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\am.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\ar.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\bg.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\bn.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\ca.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\cs.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\da.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\de.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\el.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\en-gb.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\en-us.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\es-419.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\es.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\et.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\fa.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\fi.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\fil.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\fr.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\gu.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\he.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\hi.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\hr.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\hu.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\id.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\it.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\ja.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\kn.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\ko.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\lt.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\lv.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\ml.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\mr.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\ms.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\nb.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\nl.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\pl.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\pt-br.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\pt-pt.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\ro.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\ru.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\sk.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\sl.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\sr.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\sv.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\sw.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\ta.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\te.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\th.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\tr.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\uk.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\ur.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\vi.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\zh-cn.pak
- %TEMP%\nsp4766.tmp\7z-out\locales\zh-tw.pak
- %TEMP%\nsp4766.tmp\7z-out\resources\app.asar
- %TEMP%\nsp4766.tmp\7z-out\resources\elevate.exe
- %TEMP%\nsp4766.tmp\7z-out\resources.pak
- %TEMP%\nsp4766.tmp\7z-out\ret.exe
- %TEMP%\nsp4766.tmp\7z-out\snapshot_blob.bin
- %TEMP%\nsp4766.tmp\7z-out\v8_context_snapshot.bin
- %TEMP%\nsp4766.tmp\7z-out\vk_swiftshader.dll
- %TEMP%\nsp4766.tmp\7z-out\vk_swiftshader_icd.json
- %TEMP%\nsp4766.tmp\7z-out\vulkan-1.dll
- %TEMP%\nsp4766.tmp\app-64.7z
- %TEMP%\nsp4766.tmp\nsexec.dll
- %TEMP%\nsp4766.tmp\nsis7z.dll
- %TEMP%\nsp4766.tmp\spiderbanner.dll
- %TEMP%\nsp4766.tmp\stdutils.dll
- %TEMP%\nsp4766.tmp\system.dll
- %TEMP%\nsp4766.tmp\winshell.dll
Сетевая активность
Подключается к
- 'gi##.###hubusercontent.com':443
UDP
- DNS ASK gi##.###hubusercontent.com
- DNS ASK ap#.#ofile.io
Другое
Ищет следующие окна
- ClassName: '#32770' WindowName: ''
- ClassName: 'SysListView32' WindowName: ''
Создает и запускает на исполнение
- '%LOCALAPPDATA%\programs\ret\ret.exe'
- '%LOCALAPPDATA%\programs\ret\ret.exe' --type=gpu-process --user-data-dir="%APPDATA%\ret" --gpu-preferences=WAAAAAAAAADgAAAMAAAAAAAAAAAAAAAAAABgAAAAAAA4AAAAAAAAAAAAAAAEAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAGAAAAAAAAAAYAAAAAAAAAAgAAAAA...
- '%LOCALAPPDATA%\programs\ret\ret.exe' --type=utility --utility-sub-type=network.mojom.NetworkService --lang=en-US --service-sandbox-type=none --user-data-dir="%APPDATA%\ret" --mojo-platform-channel-handle=2236 --field-trial-handle=...
- '%LOCALAPPDATA%\programs\ret\ret.exe' --type=renderer --user-data-dir="%APPDATA%\ret" --app-path="%LOCALAPPDATA%\Programs\ret\resources\app.asar" --enable-sandbox --lang=en-US --device-scale-factor=1 --num-raster-threads=2 --enable...
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c tasklist /FI "USERNAME eq %USERNAME%" /FI "IMAGENAME eq ret.exe" /FO csv | <SYSTEM32>\find.exe "ret.exe" (со скрытым окном)
- '%WINDIR%\syswow64\tasklist.exe' /FI "USERNAME eq user" /FI "IMAGENAME eq ret.exe" /FO csv
- '%WINDIR%\syswow64\find.exe' "ret.exe"
- '<SYSTEM32>\cmd.exe' /d /s /c "tasklist" (со скрытым окном)
- '<SYSTEM32>\tasklist.exe'
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell.exe Add-Type -AssemblyName System.Security; [System.Security.Cryptography.ProtectedData]::Unprotect([byte[]]@(1,0,0,0,208,140,157,223,1,21,209,17,140,122,0,192,79,194,151,2... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-Type -AssemblyName System.Security; [System.Security.Cryptography.ProtectedData]::Unprotect([byte[]]@(1,0,0,0,208,140,157,223,1,21,209,17,140,122,0,192,79,194,151,235,1,0,0,0,69,247,204,56,...
