Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Syshost' = '"%APPDATA%\syshost.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\windows security checks
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\sihost.exe
- %WINDIR%\explorer.exe
- <SYSTEM32>\runtimebroker.exe
следующие пользовательские процессы:
- msedge.exe
Патчит код
в динамической библиотеке AMSI
- Процесс rxdwxxqg.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс rxdwxxqg.exe, модуль ntdll.dll
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [HKCU\Software\Martin Prikryl\WinSCP 2\Sessions]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
- %APPDATA%\mozilla\firefox\profiles.ini
- %HOMEPATH%\desktop\sdksampleunprivdeveloper.cer
- %HOMEPATH%\desktop\testcertificate.cer
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\microsoft\windows\services\wlrmdr.exe
- %TEMP%\jn6xpg3z.exe
- %TEMP%\nx1tolmv.exe
- %TEMP%\i1daxs2z.exe
- %TEMP%\is-foh1w3ovh4.tmp\i1daxs2z.tmp
- %TEMP%\is-p8kifpx6k9.tmp\_isetup\_isdecmp.dll
- %TEMP%\9f17bf9b8ad74c3eaf7e.exe
- %TEMP%\d8697301ba2d483cbe95.exe
- %APPDATA%\syshost.exe
- %TEMP%\is-wlb5xnuley.tmp\9f17bf9b8ad74c3eaf7e.tmp
- %TEMP%\is-7nvcp41h7x.tmp\_isetup\_isdecmp.dll
- %TEMP%\ed5hn59h.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\microsoft\windows\services\wlrmdr.exe
- %APPDATA%\syshost.exe
Изменяет следующие файлы
Сетевая активность
Подключается к
- 'google.com':80
- 'bing.com':80
- '19#.#78.158.107':80
TCP
Запросы HTTP GET
- http://www.google.com/
- http://www.bing.com/
Запросы HTTP POST
- http://19#.#78.158.107/vbv/get.php?ui######################################################
- http://19#.#78.158.107/vbv/get.php?ui#################################################################################
- http://19#.#78.158.107/vbv/get.php?ui#######################################################
- http://19#.#78.158.107/vbv/get.php?ui##############################################################
- http://19#.#78.158.107/auth.php
UDP
- DNS ASK google.com
- DNS ASK bing.com
Другое
Создает и запускает на исполнение
- '%TEMP%\jn6xpg3z.exe'
- '%TEMP%\nx1tolmv.exe'
- '%TEMP%\i1daxs2z.exe'
- '%TEMP%\is-foh1w3ovh4.tmp\i1daxs2z.tmp' /SL5="$120278,3755066,888832,%TEMP%\i1daxs2z.exe"
- '%TEMP%\d8697301ba2d483cbe95.exe'
- '%APPDATA%\syshost.exe'
- '%TEMP%\9f17bf9b8ad74c3eaf7e.exe'
- '%TEMP%\is-wlb5xnuley.tmp\9f17bf9b8ad74c3eaf7e.tmp' /SL5="$70168,3755066,888832,%TEMP%\9F17BF9B8AD74C3EAF7E.exe"
- '%TEMP%\ed5hn59h.exe'
Запускает на исполнение
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --no-sandbox
- '<SYSTEM32>\cmd.exe' /c "netsh wlan export profile key=clear folder="%TEMP%\dia_wifi_tmp\" 2>nul" (со скрытым окном)
- '<SYSTEM32>\netsh.exe' wlan export profile key=clear folder="%TEMP%\dia_wifi_tmp\"
- '%TEMP%\d8697301ba2d483cbe95.exe' (со скрытым окном)
- '%APPDATA%\syshost.exe' (со скрытым окном)
- '%TEMP%\9f17bf9b8ad74c3eaf7e.exe' (со скрытым окном)
