Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\otgnzihxntuntfntwnkcsyyi
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\hvyFcsXkMSoBHPCHbBkQaPav] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\hvyFcsXkMSoBHPCHbBkQaPav] 'ImagePath' = 'cmd /c cd /d "C:\Drivers\aDrOinGn" && start "" "C:\Drivers\aDrOinGn\yil9.exe"'
Создает следующие сервисы
- 'hvyFcsXkMSoBHPCHbBkQaPav' cmd /c cd /d "C:\Drivers\aDrOinGn" && start "" "C:\Drivers\aDrOinGn\yil9.exe"
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /IM yil9.exe /T
- '%WINDIR%\syswow64\taskkill.exe' /F /IM installer.exe /T
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-adhnk.tmp\<Имя файла>.tmp
- %TEMP%\is-33lph.tmp\_isetup\_setup64.tmp
- %TEMP%\is-33lph.tmp\_isetup\_shfoldr.dll
- C:\drivers\adroingn\is-t0up2.tmp
- C:\drivers\adroingn\is-on750.tmp
- C:\drivers\lwxbr\is-jg27u.tmp
- C:\drivers\fqmdtmao\is-nb7qr.tmp
- %HOMEPATH%\desktop\app.lnk
- C:\drivers\drivers.dat.0
- C:\drivers\drivers.dat
- \device\namedpipe\ntsvcs
- C:\users\public\pictures\runtime\rclttp
- C:\users\public\pictures\runtime\cookie\cookie.dat-journal
- C:\users\public\pictures\runtime\cookie\cookie.dat
- C:\users\public\pictures\runtime\cookie\cookie.dat-wal
Присваивает атрибут 'скрытый' для следующих файлов
- C:\drivers\adroingn\mxbha.yb
- C:\drivers\adroingn\yil9.exe
- C:\drivers\fqmdtmao\ozwzq.eey
- C:\drivers\lwxbr\installer.exe
- C:\drivers\drivers.dat
- C:\drivers\drivers.dat.0
Удаляет файлы, которые сам же создал
- C:\users\public\pictures\runtime\cookie\cookie.dat-journal
Перемещает следующие файлы
- C:\drivers\adroingn\is-t0up2.tmp в C:\drivers\adroingn\mxbha.yb
- C:\drivers\adroingn\is-on750.tmp в C:\drivers\adroingn\yil9.exe
- C:\drivers\lwxbr\is-jg27u.tmp в C:\drivers\lwxbr\installer.exe
- C:\drivers\fqmdtmao\is-nb7qr.tmp в C:\drivers\fqmdtmao\ozwzq.eey
Сетевая активность
Подключается к
- '9.#.9.9':443
- '22#.6.6.6':443
- '<DNS_SERVER>':443
- '22#.5.5.5':443
- 'localhost':10808
- 'localhost':10809
- 'localhost':7890
- '1.#.1.1':443
- '1.#.0.1':443
- 'localhost':7897
- 'localhost':20170
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\is-adhnk.tmp\<Имя файла>.tmp' /SL5="$A01C6,22641873,119296,<Полный путь к файлу>"
- 'C:\drivers\adroingn\yil9.exe'
Запускает на исполнение
- '<SYSTEM32>\vssvc.exe'
- '<SYSTEM32>\cmd.exe' /c waitfor.exe ZqIdleHeartbeat3f (со скрытым окном)
- '<SYSTEM32>\waitfor.exe' ZqIdleHeartbeat3f
- '<SYSTEM32>\cmd.exe' /c "icacls \"C:\Drivers\" /deny Users:(D)" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' ver (со скрытым окном)
- '<SYSTEM32>\icacls.exe' \"C:\Drivers\" /deny Users:(D)
- '<SYSTEM32>\cmd.exe' /c "icacls \"C:\Drivers\" /grant Users:(OI)(CI)(RX)" (со скрытым окном)
- '<SYSTEM32>\icacls.exe' \"C:\Drivers\" /grant Users:(OI)(CI)(RX)
- '<SYSTEM32>\attrib.exe' C:\Drivers +s +h (со скрытым окном)
- '<SYSTEM32>\attrib.exe' C:\Drivers\* +s +h /S /D (со скрытым окном)
- '<SYSTEM32>\w32tm.exe' /resync (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn otGNZiHXntuNtFNTWNKcSyyi /tr "cmd /c cd /d \"C:\Drivers\aDrOinGn\" && start \"\" \"C:\Drivers\aDrOinGn\yil9.exe\"" /sc onstart /ru SYSTEM /rl HIGHEST /f (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c cd /d "C:\Drivers\aDrOinGn" && start "" "C:\Drivers\aDrOinGn\yil9.exe" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /query /tn otGNZiHXntuNtFNTWNKcSyyi (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /F /IM yil9.exe /T (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /F /IM installer.exe /T (со скрытым окном)
