Техническая информация
Отработавшее пользовательское сигма правило:
- d223b46b-5621-4037-88fe-fda32eead684
- f01d1f70-cd41-42ec-9c0b-26dd9c22bf29
- 54786ddc-5b8a-11ed-9b6a-0242ac120002
- 379fa130-190e-4c3f-b7bc-6c8e834485f3
- a1a144b7-5c9b-4853-a559-2172be8d4a03
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\360FsFlt] 'ImagePath' = '<DRIVERS>\360FsFlt.sys'
- [HKLM\SYSTEM\CurrentControlSet\Services\MDDN] 'ImagePath' = '<DRIVERSTORE>\FileRepository\mddn.inf_amd64_aaa1f00e55b27fa9\MDDN.dll'
Создает следующие сервисы
- '360FsFlt' <DRIVERS>\360FsFlt.sys
- 'MDDN' <DRIVERSTORE>\FileRepository\mddn.inf_amd64_aaa1f00e55b27fa9\MDDN.dll
Вредоносные функции
Патчит код
в динамической библиотеке NTDLL
- Процесс instdrv.exe, модуль ntdll.dll
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- C:\instdrv.exe
- <DRIVERS>\360fsflt.sys
- %TEMP%\t846s7uxifelowrp\mddn.inf
- %TEMP%\t846s7uxifelowrp\mddn.cat
- %TEMP%\t846s7uxifelowrp\mddn.sys
- %TEMP%\t846s7uxifelowrp\mddn.dll
- %TEMP%\{ef640c4d-bced-fe48-9f19-2ebdf54f33d8}\set44b5.tmp
- %TEMP%\{ef640c4d-bced-fe48-9f19-2ebdf54f33d8}\set44e5.tmp
- %TEMP%\{ef640c4d-bced-fe48-9f19-2ebdf54f33d8}\set4505.tmp
- %TEMP%\{ef640c4d-bced-fe48-9f19-2ebdf54f33d8}\set4516.tmp
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem3.cat
- %WINDIR%\inf\oem3.pnf
- nul
Присваивает атрибут 'скрытый' для следующих файлов
- C:\instdrv.exe
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem3.cat
Удаляет файлы, которые сам же создал
- %TEMP%\{ef640c4d-bced-fe48-9f19-2ebdf54f33d8}\mddn.cat
- %TEMP%\{ef640c4d-bced-fe48-9f19-2ebdf54f33d8}\mddn.dll
- %TEMP%\{ef640c4d-bced-fe48-9f19-2ebdf54f33d8}\mddn.inf
- %TEMP%\{ef640c4d-bced-fe48-9f19-2ebdf54f33d8}\mddn.sys
- %TEMP%\t846s7uxifelowrp\mddn.inf
- %TEMP%\t846s7uxifelowrp\mddn.cat
- %TEMP%\t846s7uxifelowrp\mddn.dll
- %TEMP%\t846s7uxifelowrp\mddn.sys
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem3.cat
Перемещает следующие файлы
- %TEMP%\{ef640c4d-bced-fe48-9f19-2ebdf54f33d8}\set44b5.tmp в %TEMP%\{ef640c4d-bced-fe48-9f19-2ebdf54f33d8}\mddn.cat
- %TEMP%\{ef640c4d-bced-fe48-9f19-2ebdf54f33d8}\set44e5.tmp в %TEMP%\{ef640c4d-bced-fe48-9f19-2ebdf54f33d8}\mddn.dll
- %TEMP%\{ef640c4d-bced-fe48-9f19-2ebdf54f33d8}\set4505.tmp в %TEMP%\{ef640c4d-bced-fe48-9f19-2ebdf54f33d8}\mddn.inf
- %TEMP%\{ef640c4d-bced-fe48-9f19-2ebdf54f33d8}\set4516.tmp в %TEMP%\{ef640c4d-bced-fe48-9f19-2ebdf54f33d8}\mddn.sys
- <SYSTEM32>\catroot2\edbtmp.log в <SYSTEM32>\catroot2\edb.log
- C:\instdrv.exe в \:r0m4
Подменяет следующие исполняемые файлы
- <Полный путь к файлу>
Самоперемещается
- из <Полный путь к файлу> в %TEMP%\_@44a6.tmp
Сетевая активность
Подключается к
- '43.##6.56.105':9003
Другое
Добавляет корневой сертификат
Ищет следующие окна
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- 'C:\instdrv.exe'
Запускает на исполнение
- '<SYSTEM32>\svchost.exe' -k DcomLaunch -p -s DeviceInstall
- '<SYSTEM32>\cmd.exe' /c ping 127.0.0.1 -n 2 > nul & del /f /q "C:\InstDrv.exe"
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 2
- 'C:\instdrv.exe' (со скрытым окном)
