Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Syshost' = '"%APPDATA%\syshost.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdateSvc' = '%APPDATA%\runtimeurp.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\windows security checks
- %WINDIR%\tasks\synchost.job
- <SYSTEM32>\tasks\synchost
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\sihost.exe
- <SYSTEM32>\runtimebroker.exe
- %WINDIR%\explorer.exe
следующие пользовательские процессы:
- msedge.exe
Патчит код
в динамической библиотеке AMSI
- Процесс keto34km.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс keto34km.exe, модуль ntdll.dll
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
- %APPDATA%\mozilla\firefox\profiles.ini
- %HOMEPATH%\desktop\pmd.cer
- %HOMEPATH%\desktop\contosoroot_1.cer
- %HOMEPATH%\desktop\contosoroot.cer
- %HOMEPATH%\desktop\contoso_1.cer
- %HOMEPATH%\desktop\contoso.cer
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\508softwareandos.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\j2bum7xo.exe
- %TEMP%\g9pvz4w4.exe
- %TEMP%\crbn9dcf.exe
- %TEMP%\wgichg9g.exe
- %TEMP%\g6jys69z.exe
- %TEMP%\keto34km.exe
- %APPDATA%\syshost.exe
- %TEMP%\4uk5j9mn.exe
- %APPDATA%\runtimeurp.exe
- <Текущая директория>\skylineloader.exe
- %APPDATA%\synchost.exe
- %TEMP%\is-7lautlxbeb.tmp\j2bum7xo.tmp
- %APPDATA%\microsoft\windows\services\wlrmdr.exe
- %ALLUSERSPROFILE%\microsoft\crypto\rsa\s-1-5-18\d42cc0c3858a58db2db37658219e6400_8cf7b530-613e-439b-a8c5-ccfc0e745400
- %TEMP%\is-mflx5zz27v.tmp\_isetup\_isdecmp.dll
- %TEMP%\ekt37reb.exe
- %TEMP%\bshik8hg.exe
- %TEMP%\m6o1h9dy.exe
- %TEMP%\is-g49bv7uw7g.tmp\m6o1h9dy.tmp
- %TEMP%\is-jsfrqt4y76.tmp\_isetup\_isdecmp.dll
- %TEMP%\kb7ki2nk.exe
- %TEMP%\3d57a3502b1046b5a30b.exe
- %TEMP%\fa2880f9870b422b9a12.exe
- %TEMP%\is-8861rkgeag.tmp\3d57a3502b1046b5a30b.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\syshost.exe
- %APPDATA%\runtimeurp.exe
- %APPDATA%\synchost.exe
- <Текущая директория>\skylineloader.exe
- %APPDATA%\microsoft\windows\services\wlrmdr.exe
Изменяет следующие файлы
Сетевая активность
Подключается к
- '19#.#78.158.107':80
- 'google.com':80
- 'bing.com':80
- '19#.#51.107.186':80
TCP
Запросы HTTP GET
- http://www.google.com/
- http://www.bing.com/
Запросы HTTP POST
- http://19#.#78.158.107/auth.php
- http://19#.#51.107.186/8jdjZhdf7/index.php
- http://19#.#78.158.107/Bjsw3DlG1/index.php
- http://19#.#78.158.107/vbv/get.php?ui######################################################
- http://19#.#78.158.107/vbv/get.php?ui#######################################################
- http://19#.#78.158.107/vbv/get.php?ui##############################################################
UDP
- DNS ASK google.com
- DNS ASK bing.com
Другое
Создает и запускает на исполнение
- '%TEMP%\j2bum7xo.exe'
- '%TEMP%\g9pvz4w4.exe'
- '%TEMP%\crbn9dcf.exe'
- '%TEMP%\wgichg9g.exe'
- '%TEMP%\g6jys69z.exe'
- '%TEMP%\keto34km.exe'
- '%TEMP%\4uk5j9mn.exe'
- '%APPDATA%\syshost.exe'
- '%APPDATA%\synchost.exe'
- '<Текущая директория>\skylineloader.exe'
- '%TEMP%\is-7lautlxbeb.tmp\j2bum7xo.tmp' /SL5="$1402DE,3755066,888832,%TEMP%\j2bum7xo.exe"
- '%TEMP%\ekt37reb.exe'
- '%TEMP%\bshik8hg.exe'
- '%TEMP%\m6o1h9dy.exe'
- '%TEMP%\is-g49bv7uw7g.tmp\m6o1h9dy.tmp' /SL5="$6011C,3755066,888832,%TEMP%\m6o1h9dy.exe"
- '%TEMP%\kb7ki2nk.exe'
- '%TEMP%\fa2880f9870b422b9a12.exe'
- '%TEMP%\3d57a3502b1046b5a30b.exe'
- '%TEMP%\is-8861rkgeag.tmp\3d57a3502b1046b5a30b.tmp' /SL5="$901B4,3755066,888832,%TEMP%\3D57A3502B1046B5A30B.exe"
Запускает на исполнение
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --no-sandbox
- '<SYSTEM32>\cmd.exe' /c "netsh wlan export profile key=clear folder="%TEMP%\dia_wifi_tmp\" 2>nul" (со скрытым окном)
- '<SYSTEM32>\netsh.exe' wlan export profile key=clear folder="%TEMP%\dia_wifi_tmp\"
- '%APPDATA%\syshost.exe' (со скрытым окном)
- '%TEMP%\fa2880f9870b422b9a12.exe' (со скрытым окном)
- '%TEMP%\3d57a3502b1046b5a30b.exe' (со скрытым окном)
