Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\hvhqjslvsfgpfarvnkqwirto
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\MjxoCpVOtHVSbkLHuMulMCuc] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\MjxoCpVOtHVSbkLHuMulMCuc] 'ImagePath' = 'cmd /c cd /d "C:\Drivers\HeatSenate" && start "" "C:\Drivers\HeatSenate\Provinceslearned1014.exe"'
Создает следующие сервисы
- 'MjxoCpVOtHVSbkLHuMulMCuc' cmd /c cd /d "C:\Drivers\HeatSenate" && start "" "C:\Drivers\HeatSenate\Provinceslearned1014.exe"
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /IM Provinceslearned1014.exe /T
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-rfi5g.tmp\<Имя файла>.tmp
- %TEMP%\is-v2hdl.tmp\_isetup\_setup64.tmp
- %TEMP%\is-v2hdl.tmp\_isetup\_shfoldr.dll
- C:\drivers\heatsenate\is-9lcpf.tmp
- C:\drivers\heatsenate\is-njohn.tmp
- C:\drivers\heavydrops5712\is-eh9t9.tmp
- C:\drivers\fearsimmering12\is-3rpi9.tmp
- %HOMEPATH%\desktop\tsetup-x64.6.9.3.exe.lnk
- C:\drivers\drivers.dat.0
- C:\drivers\drivers.dat
- %TEMP%\is-tn1pd.tmp\installer.tmp
- \device\namedpipe\ntsvcs
- C:\users\public\pictures\runtime\rclttp
- C:\users\public\pictures\runtime\cookie\cookie.dat-journal
- C:\users\public\pictures\runtime\cookie\cookie.dat
- C:\users\public\pictures\runtime\cookie\cookie.dat-wal
- C:\users\public\pictures\runtime\lgi.dat
- nul
Присваивает атрибут 'скрытый' для следующих файлов
- C:\drivers\fearsimmering12\matthewscroll-7230.0xjo
- C:\drivers\heatsenate\provinceslearned1014.exe
- C:\drivers\heatsenate\snowsuitpixels5443.gfl1d
- C:\drivers\heavydrops5712\installer.exe
- C:\drivers\drivers.dat
- C:\drivers\drivers.dat.0
Удаляет файлы, которые сам же создал
- %TEMP%\is-v2hdl.tmp\_isetup\_setup64.tmp
- %TEMP%\is-v2hdl.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-rfi5g.tmp\<Имя файла>.tmp
- C:\users\public\pictures\runtime\cookie\cookie.dat-journal
Перемещает следующие файлы
- C:\drivers\heatsenate\is-9lcpf.tmp в C:\drivers\heatsenate\provinceslearned1014.exe
- C:\drivers\heatsenate\is-njohn.tmp в C:\drivers\heatsenate\snowsuitpixels5443.gfl1d
- C:\drivers\heavydrops5712\is-eh9t9.tmp в C:\drivers\heavydrops5712\installer.exe
- C:\drivers\fearsimmering12\is-3rpi9.tmp в C:\drivers\fearsimmering12\matthewscroll-7230.0xjo
Сетевая активность
Подключается к
- '22#.6.6.6':443
- '9.#.9.9':443
- '<DNS_SERVER>':443
- '1.#.1.1':443
- 'ss#.com':80
- '22#.5.5.5':443
- '1.#.0.1':443
- 'localhost':7897
- 'localhost':7890
- 'localhost':10809
- 'localhost':10808
- 'localhost':20170
- '64.##3.162.94':80
- '65.##.210.175':443
- 'x1.#.lencr.org':80
- '64.##3.161.94':80
TCP
Запросы HTTP GET
- http://www.ss#.com/repository/SSLcom-RootCA-ECC-384-R1.crt
- http://co#######itycheck.gstatic.com/generate_204
- http://x1.#.lencr.org/
Другие
- '1.#.1.1':443
- '<DNS_SERVER>':443
- '9.#.9.9':443
- '22#.6.6.6':443
- '22#.5.5.5':443
- '1.#.0.1':443
- '65.##.210.175':443
UDP
- DNS ASK ss#.com
- DNS ASK x1.#.lencr.org
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\is-rfi5g.tmp\<Имя файла>.tmp' /SL5="$E02C8,67989338,119296,<Полный путь к файлу>"
- 'C:\drivers\heatsenate\provinceslearned1014.exe'
- 'C:\drivers\heavydrops5712\installer.exe'
- '%TEMP%\is-tn1pd.tmp\installer.tmp' /SL5="$E01B4,51997062,864256,C:\Drivers\Heavydrops5712\installer.exe"
Запускает на исполнение
- '<SYSTEM32>\vssvc.exe'
- '<SYSTEM32>\cmd.exe' /c waitfor.exe ZqIdleHeartbeat3f (со скрытым окном)
- '<SYSTEM32>\waitfor.exe' ZqIdleHeartbeat3f
- '<SYSTEM32>\cmd.exe' /c "icacls \"C:\Drivers\" /deny Users:(D)" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' ver (со скрытым окном)
- '<SYSTEM32>\icacls.exe' \"C:\Drivers\" /deny Users:(D)
- '<SYSTEM32>\cmd.exe' /c "icacls \"C:\Drivers\" /grant Users:(OI)(CI)(RX)" (со скрытым окном)
- '<SYSTEM32>\icacls.exe' \"C:\Drivers\" /grant Users:(OI)(CI)(RX)
- '<SYSTEM32>\attrib.exe' C:\Drivers +s +h (со скрытым окном)
- '<SYSTEM32>\attrib.exe' C:\Drivers\* +s +h /S /D (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn HvHQjSLVsFgPFaRvNKqwiRTO /tr "cmd /c cd /d \"C:\Drivers\HeatSenate\" && start \"\" \"C:\Drivers\HeatSenate\Provinceslearned1014.exe\"" /sc onstart /ru SYSTEM /rl HIGHEST /f (со скрытым окном)
- '<SYSTEM32>\w32tm.exe' /resync (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /K "chcp 65001 >nul" (со скрытым окном)
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\whoami.exe'
- '<SYSTEM32>\cmd.exe' /c cd /d "C:\Drivers\HeatSenate" && start "" "C:\Drivers\HeatSenate\Provinceslearned1014.exe" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /query /tn HvHQjSLVsFgPFaRvNKqwiRTO (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /F /IM Provinceslearned1014.exe /T (со скрытым окном)
