Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\CheckUpdateSvc_a47d] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\CheckUpdateSvc_a47d] 'ImagePath' = '%ALLUSERSPROFILE%\Common\Microsoft\Temp\AC5F54AB\CoreGuardMgr3586.exe'
- [HKLM\SYSTEM\CurrentControlSet\Services\gkrstjkczn] 'ImagePath' = '<SYSTEM32>\svchost.exe -k netsvcs -p'
- [HKLM\SYSTEM\CurrentControlSet\Services\mphzidkgan] 'ImagePath' = '<SYSTEM32>\svchost.exe -k wusvcs -p'
- [HKLM\SYSTEM\CurrentControlSet\Services\pnzwycddnm] 'ImagePath' = '<SYSTEM32>\svchost.exe -k netsvcs -p'
- [HKLM\SYSTEM\CurrentControlSet\Services\nztzdpdsyl] 'ImagePath' = '<SYSTEM32>\svchost.exe -k netsvcs -p'
- [HKLM\SYSTEM\CurrentControlSet\Services\saiexukbkh] 'ImagePath' = '<SYSTEM32>\svchost.exe -k NetworkService -p'
- [HKLM\SYSTEM\CurrentControlSet\Services\pvdhnnxg] 'ImagePath' = '%WINDIR%\TEMP\pvdhnnxg.sys'
Создает следующие сервисы
- 'CheckUpdateSvc_a47d' %ALLUSERSPROFILE%\Common\Microsoft\Temp\AC5F54AB\CoreGuardMgr3586.exe
- 'pvdhnnxg' %WINDIR%\TEMP\pvdhnnxg.sys
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Обновления системы (Windows Update)
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath $env:UserProfile -Force
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath $env:ProgramData -Force
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath $env:TEMP -Force
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionExtension '.exe' -Force
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionExtension '.sys' -Force
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionProcess 'nslookup.exe' -Force
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionProcess 'svchost.exe' -Force
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\nslookup.exe
- <SYSTEM32>\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\common\microsoft\temp\ac5f54ab\coreguardmgr3586.exe
- %WINDIR%\temp\__psscriptpolicytest_yhoq5ziw.pcg.ps1
- %WINDIR%\temp\__psscriptpolicytest_fy5o0obz.zyu.psm1
- %WINDIR%\temp\__psscriptpolicytest_wilr2wkw.5cz.ps1
- %WINDIR%\temp\__psscriptpolicytest_kydaxcbc.ii5.psm1
- <SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive
- %WINDIR%\temp\__psscriptpolicytest_2m4mcrn2.juu.ps1
- %WINDIR%\temp\__psscriptpolicytest_zq3uprhw.3oc.psm1
- %WINDIR%\temp\__psscriptpolicytest_pjifvmwg.rjl.ps1
- %WINDIR%\temp\__psscriptpolicytest_jczgsb5z.5vc.psm1
- %WINDIR%\temp\__psscriptpolicytest_shmnndc2.g10.ps1
- %WINDIR%\temp\__psscriptpolicytest_cnpx5jie.10t.psm1
- %WINDIR%\temp\__psscriptpolicytest_p13hfurf.o1w.ps1
- %WINDIR%\temp\__psscriptpolicytest_ed0mhe1d.sbn.psm1
- %WINDIR%\temp\__psscriptpolicytest_j0wxmqed.r1i.ps1
- %WINDIR%\temp\__psscriptpolicytest_kil0dtk2.kdc.psm1
- %WINDIR%\temp\__psscriptpolicytest_ocljrvi2.wag.ps1
- %WINDIR%\temp\__psscriptpolicytest_4dzmgzdk.5g4.psm1
- %WINDIR%\temp\__psscriptpolicytest_3mmdnhjx.e2x.ps1
- %WINDIR%\temp\__psscriptpolicytest_g2rmi2f4.eox.psm1
- %WINDIR%\temp\__psscriptpolicytest_1y3aixf2.ftp.ps1
- %WINDIR%\temp\__psscriptpolicytest_qdnkq0jb.fvt.psm1
- %WINDIR%\temp\__psscriptpolicytest_5qosf04u.ifk.ps1
- %WINDIR%\temp\__psscriptpolicytest_lhu2zona.gry.psm1
- %WINDIR%\temp\__psscriptpolicytest_mydebi4g.vg5.ps1
- %WINDIR%\temp\__psscriptpolicytest_1wqfzcfr.t20.psm1
- %WINDIR%\temp\__psscriptpolicytest_kghof03t.met.ps1
- %WINDIR%\temp\__psscriptpolicytest_u3jxvuuu.pd1.psm1
- %WINDIR%\temp\__psscriptpolicytest_ifrddxos.x3a.ps1
- %WINDIR%\temp\__psscriptpolicytest_3zigjyqn.h50.psm1
- %WINDIR%\temp\__psscriptpolicytest_31jvw4x3.aey.ps1
- %WINDIR%\temp\__psscriptpolicytest_0lcxszvz.h4g.psm1
- %WINDIR%\temp\__psscriptpolicytest_2ftpis51.ncc.ps1
- %WINDIR%\temp\__psscriptpolicytest_x42fwnxy.k3l.psm1
- %WINDIR%\temp\pvdhnnxg.sys
Удаляет файлы, которые сам же создал
- %WINDIR%\temp\__psscriptpolicytest_yhoq5ziw.pcg.ps1
- %WINDIR%\temp\__psscriptpolicytest_fy5o0obz.zyu.psm1
- %WINDIR%\temp\__psscriptpolicytest_wilr2wkw.5cz.ps1
- %WINDIR%\temp\__psscriptpolicytest_kydaxcbc.ii5.psm1
- %WINDIR%\temp\__psscriptpolicytest_2m4mcrn2.juu.ps1
- %WINDIR%\temp\__psscriptpolicytest_zq3uprhw.3oc.psm1
- %WINDIR%\temp\__psscriptpolicytest_pjifvmwg.rjl.ps1
- %WINDIR%\temp\__psscriptpolicytest_jczgsb5z.5vc.psm1
- %WINDIR%\temp\__psscriptpolicytest_shmnndc2.g10.ps1
- %WINDIR%\temp\__psscriptpolicytest_cnpx5jie.10t.psm1
- %WINDIR%\temp\__psscriptpolicytest_p13hfurf.o1w.ps1
- %WINDIR%\temp\__psscriptpolicytest_ed0mhe1d.sbn.psm1
- %WINDIR%\temp\__psscriptpolicytest_j0wxmqed.r1i.ps1
- %WINDIR%\temp\__psscriptpolicytest_kil0dtk2.kdc.psm1
- %WINDIR%\temp\__psscriptpolicytest_ocljrvi2.wag.ps1
- %WINDIR%\temp\__psscriptpolicytest_4dzmgzdk.5g4.psm1
- %WINDIR%\temp\__psscriptpolicytest_3mmdnhjx.e2x.ps1
- %WINDIR%\temp\__psscriptpolicytest_g2rmi2f4.eox.psm1
- %WINDIR%\temp\__psscriptpolicytest_1y3aixf2.ftp.ps1
- %WINDIR%\temp\__psscriptpolicytest_qdnkq0jb.fvt.psm1
- %WINDIR%\temp\__psscriptpolicytest_5qosf04u.ifk.ps1
- %WINDIR%\temp\__psscriptpolicytest_lhu2zona.gry.psm1
- %WINDIR%\temp\__psscriptpolicytest_mydebi4g.vg5.ps1
- %WINDIR%\temp\__psscriptpolicytest_1wqfzcfr.t20.psm1
- %WINDIR%\temp\__psscriptpolicytest_kghof03t.met.ps1
- %WINDIR%\temp\__psscriptpolicytest_u3jxvuuu.pd1.psm1
- %WINDIR%\temp\__psscriptpolicytest_ifrddxos.x3a.ps1
- %WINDIR%\temp\__psscriptpolicytest_3zigjyqn.h50.psm1
- %WINDIR%\temp\__psscriptpolicytest_31jvw4x3.aey.ps1
- %WINDIR%\temp\__psscriptpolicytest_0lcxszvz.h4g.psm1
- %WINDIR%\temp\__psscriptpolicytest_2ftpis51.ncc.ps1
- %WINDIR%\temp\__psscriptpolicytest_x42fwnxy.k3l.psm1
Самоперемещается
- из <Полный путь к файлу> в \:u
Сетевая активность
Подключается к
- 'ap#.zan.top':443
- 'oc##.#igicert.cn':80
- 'ma###.#pc.sentio.xyz':443
- 'po##.#upportxmr.com':443
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?78##############
- http://oc##.#igicert.cn/MFEwTzBNMEswSTAJBgUrDgMCGgUABBTBRr4%2BiIrsX9hkefvihPQKu88%2B%2FgQUxauLpwY1%2Fdd9vOT582SojD%2FYwDkCEAIa0HshnG4D%2BQHLX%2FIZ2J0%3D
Другие
- 'ap#.zan.top':443
- 'ma###.#pc.sentio.xyz':443
- 'po##.#upportxmr.com':443
UDP
- DNS ASK ap#.zan.top
- DNS ASK oc##.#igicert.cn
- DNS ASK ma###.#pc.sentio.xyz
- DNS ASK po##.#upportxmr.com
Другое
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\common\microsoft\temp\ac5f54ab\coreguardmgr3586.exe'
Запускает на исполнение
- '<SYSTEM32>\sc.exe' delete "CheckUpdateSvc_a47d" (со скрытым окном)
- '<SYSTEM32>\sc.exe' create "CheckUpdateSvc_a47d" binpath= "%ALLUSERSPROFILE%\Common\Microsoft\Temp\AC5F54AB\CoreGuardMgr3586.exe" start= "auto" (со скрытым окном)
- '<SYSTEM32>\sc.exe' start "CheckUpdateSvc_a47d" (со скрытым окном)
- '<SYSTEM32>\nslookup.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $key='HKLM:\SYSTEM\CurrentControlSet\Services\WaaSMedicSvc';$acl=Get-Acl $key;$admin=New-Object System.Security.Principal.NTAccount('BUILTIN','Administrators');$acl.SetOwner($admin);$rule=New-O... (со скрытым окном)
- '<SYSTEM32>\sc.exe' config WaaSMedicSvc start= disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop WaaSMedicSvc (со скрытым окном)
- '<SYSTEM32>\sc.exe' config UsoSvc start= disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop UsoSvc (со скрытым окном)
- '<SYSTEM32>\reg.exe' copy "HKLM\SYSTEM\CurrentControlSet\Services\UsoSvc" "HKLM\SYSTEM\CurrentControlSet\Services\gkrstjkczn" /s /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\UsoSvc" /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' copy "HKLM\SYSTEM\CurrentControlSet\Services\WaaSMedicSvc" "HKLM\SYSTEM\CurrentControlSet\Services\mphzidkgan" /s /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\WaaSMedicSvc" /f (со скрытым окном)
- '<SYSTEM32>\sc.exe' config wuauserv start= disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop wuauserv (со скрытым окном)
- '<SYSTEM32>\reg.exe' copy "HKLM\SYSTEM\CurrentControlSet\Services\wuauserv" "HKLM\SYSTEM\CurrentControlSet\Services\pnzwycddnm" /s /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\wuauserv" /f (со скрытым окном)
- '<SYSTEM32>\sc.exe' config BITS start= disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop BITS (со скрытым окном)
- '<SYSTEM32>\reg.exe' copy "HKLM\SYSTEM\CurrentControlSet\Services\BITS" "HKLM\SYSTEM\CurrentControlSet\Services\nztzdpdsyl" /s /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\BITS" /f (со скрытым окном)
- '<SYSTEM32>\sc.exe' config dosvc start= disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop dosvc (со скрытым окном)
- '<SYSTEM32>\reg.exe' copy "HKLM\SYSTEM\CurrentControlSet\Services\dosvc" "HKLM\SYSTEM\CurrentControlSet\Services\saiexukbkh" /s /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\dosvc" /f (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\WindowsUpdate\Scheduled Start" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\WindowsUpdate\sih" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\WindowsUpdate\sihboot" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\UpdateOrchestrator\Schedule Scan" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\UpdateOrchestrator\Schedule Scan Static Task" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\UpdateOrchestrator\Schedule Work" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\UpdateOrchestrator\Schedule Wake To Work" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\UpdateOrchestrator\USO_UxBroker" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\UpdateOrchestrator\Reboot_AC" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\UpdateOrchestrator\Reboot_Battery" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\WaaSMedic\PerformRemediation" /Disable (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0 (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\MRT\MRT_HB" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows Removal Tools\MRT_HB" /Disable (со скрытым окном)
- '<SYSTEM32>\svchost.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath $env:UserProfile -Force (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath $env:ProgramData -Force (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath $env:TEMP -Force (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionExtension '.exe' -Force (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionExtension '.sys' -Force (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionProcess 'nslookup.exe' -Force (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionProcess 'svchost.exe' -Force (со скрытым окном)
