Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'IntuitAutoUpdate_0BCA0' = '"%ALLUSERSPROFILE%\CranePristine\HeronIndex.exe" @'
Вредоносные функции
Патчит код
в динамической библиотеке AMSI
- Процесс drizzleglider.exe, модуль Amsi.dll
- Процесс heronindex.exe, модуль Amsi.dll
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [HKCU\Software\Martin Prikryl\WinSCP 2\Sessions]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\task2tspdo1f\app.ini
- %LOCALAPPDATA%\task2tspdo1f\session.log
- %LOCALAPPDATA%\task2tspdo1f\newupdates1.zip
- %LOCALAPPDATA%\task2tspdo1f\newupdates1.exe
- %LOCALAPPDATA%\task2tspdo1f\newupdates2.zip
- %LOCALAPPDATA%\task2tspdo1f\newupdates2.exe
- %LOCALAPPDATA%\task2tspdo1f\newupdates3.zip
- %LOCALAPPDATA%\task2tspdo1f\newupdates3.exe
- %TEMP%\is-6mc3zeykze.tmp\newupdates2.tmp
- %TEMP%\is-1gzn63ng8k.tmp\newupdates3.tmp
- %TEMP%\is-olvij0a1wo.tmp\_isetup\_setup64.tmp
- %TEMP%\is-s7afoioybs.tmp\_isetup\_setup64.tmp
- %TEMP%\poppycitadel\is-5na3z1mtl7.tmp
- %ALLUSERSPROFILE%\cranepristine\is-rlh57owomx.tmp
- %TEMP%\poppycitadel\is-wcb1qz6kkw.tmp
- %ALLUSERSPROFILE%\cranepristine\is-aj8tajdb6a.tmp
- %TEMP%\poppycitadel\springdunes\is-msox1ki0zl.tmp
- %ALLUSERSPROFILE%\cranepristine\waveleteasel\is-5gfjd22vwc.tmp
- %ALLUSERSPROFILE%\cranepristine\passagehumble\is-pitsaqbtcz.tmp
- %TEMP%\poppycitadel\emeraldpixel\is-igoorqgfbb.tmp
- %ALLUSERSPROFILE%\cranepristine\obsidianlagoon\is-58izw0q8cv.tmp
- %TEMP%\poppycitadel\springdunes\is-ua7at4gk08.tmp
- %ALLUSERSPROFILE%\cranepristine\waveleteasel\is-npeflc5wyy.tmp
- %TEMP%\poppycitadel\emeraldpixel\is-6mcc0krqfs.tmp
- %ALLUSERSPROFILE%\cranepristine\passagehumble\is-9lxwpsxq13.tmp
- %TEMP%\poppycitadel\springdunes\is-d91v9y6fj3.tmp
- %TEMP%\poppycitadel\emeraldpixel\is-fcnjgj6ek1.tmp
- %TEMP%\poppycitadel\springdunes\is-ee8phc8ffv.tmp
- %ALLUSERSPROFILE%\cranepristine\obsidianlagoon\is-g06tpmmfhq.tmp
- %ALLUSERSPROFILE%\cranepristine\waveleteasel\is-n3irkh2zb4.tmp
- %ALLUSERSPROFILE%\cranepristine\passagehumble\is-qbqhp65f11.tmp
- %ALLUSERSPROFILE%\cranepristine\obsidianlagoon\is-7dfi9hkhax.tmp
- %ALLUSERSPROFILE%\cranepristine\waveleteasel\is-ycg1dubnbw.tmp
- %TEMP%\poppycitadel\emeraldpixel\is-52jsoc5vps.tmp
- %TEMP%\poppycitadel\springdunes\is-l6knqofgk1.tmp
- %ALLUSERSPROFILE%\cranepristine\passagehumble\is-artth1wlr5.tmp
- %TEMP%\poppycitadel\emeraldpixel\is-eo2nb9f9lj.tmp
- %ALLUSERSPROFILE%\cranepristine\obsidianlagoon\is-6ztg6mdvke.tmp
- %TEMP%\poppycitadel\springdunes\is-n0ngyrhuer.tmp
- %ALLUSERSPROFILE%\cranepristine\args.dat
- %APPDATA%\windcrryx\09-06-2026
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\drizzleglider.exe.log
Удаляет файлы, которые сам же создал
- %TEMP%\is-olvij0a1wo.tmp\_isetup\_setup64.tmp
- %TEMP%\is-s7afoioybs.tmp\_isetup\_setup64.tmp
- %TEMP%\is-1gzn63ng8k.tmp\newupdates3.tmp
- %TEMP%\is-6mc3zeykze.tmp\newupdates2.tmp
Перемещает следующие файлы
- %ALLUSERSPROFILE%\cranepristine\is-rlh57owomx.tmp в %ALLUSERSPROFILE%\cranepristine\berry-spectrum.exe
- %TEMP%\poppycitadel\is-5na3z1mtl7.tmp в %TEMP%\poppycitadel\fjord-zephyr.exe
- %TEMP%\poppycitadel\is-wcb1qz6kkw.tmp в %TEMP%\poppycitadel\drizzleglider.exe
- %ALLUSERSPROFILE%\cranepristine\is-aj8tajdb6a.tmp в %ALLUSERSPROFILE%\cranepristine\heronindex.exe
- %ALLUSERSPROFILE%\cranepristine\waveleteasel\is-5gfjd22vwc.tmp в %ALLUSERSPROFILE%\cranepristine\waveleteasel\lunarstellar.wav
- %TEMP%\poppycitadel\springdunes\is-msox1ki0zl.tmp в %TEMP%\poppycitadel\springdunes\silverstellar.wav
- %ALLUSERSPROFILE%\cranepristine\passagehumble\is-pitsaqbtcz.tmp в %ALLUSERSPROFILE%\cranepristine\passagehumble\overturedenim.wav
- %TEMP%\poppycitadel\emeraldpixel\is-igoorqgfbb.tmp в %TEMP%\poppycitadel\emeraldpixel\bronzevillage.wav
- %ALLUSERSPROFILE%\cranepristine\obsidianlagoon\is-58izw0q8cv.tmp в %ALLUSERSPROFILE%\cranepristine\obsidianlagoon\aspencoastal.wav
- %TEMP%\poppycitadel\springdunes\is-ua7at4gk08.tmp в %TEMP%\poppycitadel\springdunes\vibrantcotton.wav
- %ALLUSERSPROFILE%\cranepristine\waveleteasel\is-npeflc5wyy.tmp в %ALLUSERSPROFILE%\cranepristine\waveleteasel\agateraven.wav
- %TEMP%\poppycitadel\emeraldpixel\is-6mcc0krqfs.tmp в %TEMP%\poppycitadel\emeraldpixel\bufferoutpost.wav
- %TEMP%\poppycitadel\springdunes\is-d91v9y6fj3.tmp в %TEMP%\poppycitadel\springdunes\windmillmerry.wav
- %TEMP%\poppycitadel\emeraldpixel\is-fcnjgj6ek1.tmp в %TEMP%\poppycitadel\emeraldpixel\fenlandmeadow.wav
- %ALLUSERSPROFILE%\cranepristine\passagehumble\is-9lxwpsxq13.tmp в %ALLUSERSPROFILE%\cranepristine\passagehumble\ferretotter.wav
- %ALLUSERSPROFILE%\cranepristine\obsidianlagoon\is-g06tpmmfhq.tmp в %ALLUSERSPROFILE%\cranepristine\obsidianlagoon\aspenbrigade.wav
- %ALLUSERSPROFILE%\cranepristine\waveleteasel\is-n3irkh2zb4.tmp в %ALLUSERSPROFILE%\cranepristine\waveleteasel\vibrantridge.wav
- %ALLUSERSPROFILE%\cranepristine\passagehumble\is-qbqhp65f11.tmp в %ALLUSERSPROFILE%\cranepristine\passagehumble\packetspring.wav
- %ALLUSERSPROFILE%\cranepristine\obsidianlagoon\is-7dfi9hkhax.tmp в %ALLUSERSPROFILE%\cranepristine\obsidianlagoon\manualveranda.wav
- %TEMP%\poppycitadel\springdunes\is-ee8phc8ffv.tmp в %TEMP%\poppycitadel\springdunes\mosaicsonnet.wav
- %TEMP%\poppycitadel\emeraldpixel\is-52jsoc5vps.tmp в %TEMP%\poppycitadel\emeraldpixel\harboroasis.wav
- %TEMP%\poppycitadel\springdunes\is-l6knqofgk1.tmp в %TEMP%\poppycitadel\springdunes\sparkmarlin.wav
- %ALLUSERSPROFILE%\cranepristine\waveleteasel\is-ycg1dubnbw.tmp в %ALLUSERSPROFILE%\cranepristine\waveleteasel\marlinlarder.wav
- %ALLUSERSPROFILE%\cranepristine\passagehumble\is-artth1wlr5.tmp в %ALLUSERSPROFILE%\cranepristine\passagehumble\tundrawharf.wav
- %ALLUSERSPROFILE%\cranepristine\obsidianlagoon\is-6ztg6mdvke.tmp в %ALLUSERSPROFILE%\cranepristine\obsidianlagoon\brigadeferret.wav
- %TEMP%\poppycitadel\emeraldpixel\is-eo2nb9f9lj.tmp в %TEMP%\poppycitadel\emeraldpixel\siennabastion.wav
- %TEMP%\poppycitadel\springdunes\is-n0ngyrhuer.tmp в %TEMP%\poppycitadel\springdunes\midnightwinter.wav
Сетевая активность
Подключается к
- '17#.#6.75.202':80
- 'localhost':49695
- 'ur#.##overpool.com':443
- 'localhost':49700
- 'do#####d.cloverpool.com':443
- 'oc##.#igicert.cn':80
- '69.##.228.77':8443
- 'ip##pi.com':80
- '45.##.136.188':2202
TCP
Запросы HTTP GET
- http://17#.#6.75.202/storage-2/newupdates3.zip
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?67##############
- http://oc##.#igicert.cn/MFEwTzBNMEswSTAJBgUrDgMCGgUABBTBRr4%2BiIrsX9hkefvihPQKu88%2B%2FgQUxauLpwY1%2Fdd9vOT582SojD%2FYwDkCEARa9oYvBUfxYq4ONtegKeg%3D
- http://ip##pi.com/json/
Другие
- 'localhost':49695
- 'localhost':49696
- 'ur#.##overpool.com':443
- 'localhost':49700
- 'localhost':49701
- 'do#####d.cloverpool.com':443
- '69.##.228.77':8443
- '45.##.136.188':2202
UDP
- DNS ASK ur#.##overpool.com
- DNS ASK do#####d.cloverpool.com
- DNS ASK oc##.#igicert.cn
- DNS ASK ip##pi.com
Другое
Создает и запускает на исполнение
- '%LOCALAPPDATA%\task2tspdo1f\newupdates1.exe'
- '%LOCALAPPDATA%\task2tspdo1f\newupdates2.exe'
- '%LOCALAPPDATA%\task2tspdo1f\newupdates3.exe'
- '%TEMP%\is-1gzn63ng8k.tmp\newupdates3.tmp' /SL5="$12019A,4198581,893952,%LOCALAPPDATA%\Task2tspDO1F\newupdates3.exe"
- '%TEMP%\is-6mc3zeykze.tmp\newupdates2.tmp' /SL5="$B01BC,4868347,893952,%LOCALAPPDATA%\Task2tspDO1F\newupdates2.exe"
- '%ALLUSERSPROFILE%\cranepristine\berry-spectrum.exe' "%ALLUSERSPROFILE%\CranePristine\HeronIndex.exe" "%ALLUSERSPROFILE%\CranePristine\WaveletEasel\LunarStellar.wav" "%ALLUSERSPROFILE%\CranePristine\PassageHumble\OvertureDenim.wav" "%ALLUSERSPROF...
- '%TEMP%\poppycitadel\fjord-zephyr.exe' "%TEMP%\PoppyCitadel\DrizzleGlider.exe" "%TEMP%\PoppyCitadel\SpringDunes\SilverStellar.wav" "%TEMP%\PoppyCitadel\EmeraldPixel\BronzeVillage.wav" "%TEMP%\PoppyCitadel\SpringDunes\VibrantCotton.w...
- '%TEMP%\poppycitadel\drizzleglider.exe' "%TEMP%\PoppyCitadel\SpringDunes\SilverStellar.wav" "%TEMP%\PoppyCitadel\EmeraldPixel\BronzeVillage.wav" "%TEMP%\PoppyCitadel\SpringDunes\VibrantCotton.wav" "%TEMP%\PoppyCitadel\EmeraldPixel\Bu...
- '%ALLUSERSPROFILE%\cranepristine\heronindex.exe' "%ALLUSERSPROFILE%\CranePristine\WaveletEasel\LunarStellar.wav" "%ALLUSERSPROFILE%\CranePristine\PassageHumble\OvertureDenim.wav" "%ALLUSERSPROFILE%\CranePristine\ObsidianLagoon\AspenCoastal.wa...
