Техническая информация
Отработавшее пользовательское сигма правило:
- ba3f5c1b-6272-4119-9dbd-0bc8d21c2702
- f4bbd493-b796-416e-bbf2-121235348529
- e4a74e34-ecde-4aab-b2fb-9112dd01aed0
- 543a15cc12f1d118bc7637eb3aaa767daff349e1ae428eee4bf39311d14dab13
- dcaa3f04-70c3-427a-80b4-b870d73c94c4
- 17769c90-230e-488b-a463-e05c08e9d48f
- a6a39bdb-935c-4f0a-ab77-35f4bbf44d33
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath '%LOCALAPPDATA%\AppCache\dl2368'"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath '%LOCALAPPDATA%\TempData\6qmiuq'"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath '%LOCALAPPDATA%\AppTemp\wnw44e'"
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM chrome.exe
- '<SYSTEM32>\taskkill.exe' /F /IM msedge.exe
- '<SYSTEM32>\taskkill.exe' /F /IM brave.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\pc\appdata\local\errorlx\error.log
- %TEMP%\jsnowyfn\jsnowyfn.0.cs
- %TEMP%\jsnowyfn\jsnowyfn.cmdline
- %TEMP%\jsnowyfn\jsnowyfn.out
- %TEMP%\jsnowyfn\cscc737bd2693049c28c27be9d6333f11.tmp
- %TEMP%\resfa8e.tmp
- %TEMP%\jsnowyfn\jsnowyfn.dll
- %TEMP%\cache.json
- nul
Удаляет файлы, которые сам же создал
- %TEMP%\resfa8e.tmp
- %TEMP%\jsnowyfn\cscc737bd2693049c28c27be9d6333f11.tmp
- %TEMP%\jsnowyfn\jsnowyfn.cmdline
- %TEMP%\jsnowyfn\jsnowyfn.dll
- %TEMP%\jsnowyfn\jsnowyfn.out
- %TEMP%\jsnowyfn\jsnowyfn.0.cs
Сетевая активность
UDP
- DNS ASK ro##.##oveanimals.shop
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell.exe -NoProfile -Command " Add-Type -Name Window -Namespace Console -MemberDefinition ' [DllImport(\"Kernel32.dll\")] public static extern IntPtr GetConsoleWindo... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command " Add-Type -Name Window -Namespace Console -MemberDefinition ' [DllImport(\"Kernel32.dll\")] public static extern IntPtr GetConsoleWindow(); [DllImport(\"us...
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\jsnowyfn\jsnowyfn.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFA8E.tmp" "%TEMP%\jsnowyfn\CSCC737BD2693049C28C27BE9D6333F11.TMP" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "net session" (со скрытым окном)
- '<SYSTEM32>\net.exe' session
- '<SYSTEM32>\net1.exe' session
- '<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /IM chrome.exe" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /IM msedge.exe" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /IM brave.exe" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell -Command "Add-MpPreference -ExclusionPath '%LOCALAPPDATA%\AppCache\dl2368'"" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell -Command "Add-MpPreference -ExclusionPath '%LOCALAPPDATA%\TempData\6qmiuq'"" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell -Command "Add-MpPreference -ExclusionPath '%LOCALAPPDATA%\AppTemp\wnw44e'"" (со скрытым окном)
