Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\NUXCTTKD] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\NUXCTTKD] 'ImagePath' = '%ALLUSERSPROFILE%\yjwwbpjfgyjw\sletikpcfccn.exe'
- [HKLM\SYSTEM\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%WINDIR%\TEMP\sejwafmrhmsx.sys'
Создает следующие сервисы
- 'NUXCTTKD' %ALLUSERSPROFILE%\yjwwbpjfgyjw\sletikpcfccn.exe
- 'WinRing0_1_2_0' %WINDIR%\TEMP\sejwafmrhmsx.sys
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Журнал событий Windows (Windows Event Logging)
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\dialer.exe
- <SYSTEM32>\winlogon.exe
- <SYSTEM32>\lsass.exe
- <SYSTEM32>\svchost.exe
- <SYSTEM32>\dwm.exe
- <SYSTEM32>\wudfhost.exe
- <SYSTEM32>\spoolsv.exe
- <SYSTEM32>\sihost.exe
- <SYSTEM32>\taskhostw.exe
- %WINDIR%\explorer.exe
- <SYSTEM32>\runtimebroker.exe
- <SYSTEM32>\dllhost.exe
- <SYSTEM32>\securityhealthsystray.exe
- <SYSTEM32>\oobe\useroobebroker.exe
- <SYSTEM32>\wbem\wmiprvse.exe
- <SYSTEM32>\conhost.exe
- <SYSTEM32>\applicationframehost.exe
- <SYSTEM32>\powercfg.exe
- <SYSTEM32>\sc.exe
- <SYSTEM32>\windowspowershell\v1.0\powershell.exe
- <SYSTEM32>\cmd.exe
- <SYSTEM32>\wusa.exe
следующие пользовательские процессы:
- iexplore.exe
- firefox.exe
- input.exe
- cryptor.dll
- 1.exe
- sletikpcfccn.exe
Перехватывает функции
в браузерах
- Процесс iexplore.exe, модуль advapi32.dll
- Процесс firefox.exe, модуль advapi32.dll
Патчит код
в динамической библиотеке
- Процесс dialer.exe, модуль KERNEL32.dll
- Процесс runtimebroker.exe, модуль ADVAPI32.dll
- Процесс input.exe, модуль SECHOST.dll
- Процесс input.exe, модуль ADVAPI32.dll
- Процесс zqlrtrv.exe, модуль SECHOST.dll
- Процесс zqlrtrv.exe, модуль ADVAPI32.dll
- Процесс cryptor.dll, модуль SECHOST.dll
- Процесс cryptor.dll, модуль ADVAPI32.dll
- Процесс svchost.exe, модуль SECHOST.dll
- Процесс svchost.exe, модуль ADVAPI32.dll
- Процесс powercfg.exe, модуль SECHOST.dll
- Процесс powercfg.exe, модуль ADVAPI32.dll
- Процесс sc.exe, модуль SECHOST.dll
- Процесс sc.exe, модуль ADVAPI32.dll
- Процесс powershell.exe, модуль SECHOST.dll
- Процесс powershell.exe, модуль ADVAPI32.dll
- Процесс cmd.exe, модуль SECHOST.dll
- Процесс cmd.exe, модуль ADVAPI32.dll
- Процесс wusa.exe, модуль SECHOST.dll
- Процесс wusa.exe, модуль ADVAPI32.dll
в динамической библиотеке AMSI
- Процесс input.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс input.exe, модуль ntdll.dll
- Процесс dialer.exe, модуль ntdll.dll
- Процесс zqlrtrv.exe, модуль ntdll.dll
- Процесс cryptor.dll, модуль ntdll.dll
- Процесс svchost.exe, модуль ntdll.dll
- Процесс powercfg.exe, модуль ntdll.dll
- Процесс sc.exe, модуль ntdll.dll
- Процесс powershell.exe, модуль ntdll.dll
- Процесс cmd.exe, модуль ntdll.dll
- Процесс wusa.exe, модуль ntdll.dll
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\dialer.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei00000c642\vcruntime140.dll
- %TEMP%\_mei00000c642\_bz2.pyd
- %TEMP%\_mei00000c642\_ctypes.pyd
- %TEMP%\_mei00000c642\_decimal.pyd
- %TEMP%\_mei00000c642\_hashlib.pyd
- %TEMP%\_mei00000c642\_lzma.pyd
- %TEMP%\_mei00000c642\_socket.pyd
- %TEMP%\_mei00000c642\_ssl.pyd
- %TEMP%\_mei00000c642\_zstd.pyd
- %TEMP%\_mei00000c642\base_library.zip
- %TEMP%\_mei00000c642\libcrypto-3.dll
- %TEMP%\_mei00000c642\libffi-8.dll
- %TEMP%\_mei00000c642\libssl-3.dll
- %TEMP%\_mei00000c642\python314.dll
- %TEMP%\_mei00000c642\select.pyd
- %TEMP%\_mei00000c642\unicodedata.pyd
- %TEMP%\ahe2gjoh
- %TEMP%\neet_marker.txt
- %TEMP%\tmpuockxzwl\input.exe
- %TEMP%\tmplh2g7wfr\cryptor.dll
- %TEMP%\_mei45482\81d243bd2c585b0f4821__mypyc.cp313-win_amd64.pyd
- %TEMP%\_mei45482\vcruntime140.dll
- %TEMP%\_mei45482\vcruntime140_1.dll
- %TEMP%\_mei45482\_asyncio.pyd
- %TEMP%\_mei45482\_bz2.pyd
- %TEMP%\_mei45482\_cffi_backend.cp313-win_amd64.pyd
- %TEMP%\_mei45482\_ctypes.pyd
- %TEMP%\_mei45482\_decimal.pyd
- %TEMP%\_mei45482\_hashlib.pyd
- %TEMP%\_mei45482\_lzma.pyd
- %TEMP%\_mei45482\_multiprocessing.pyd
- %TEMP%\_mei45482\_overlapped.pyd
- %TEMP%\_mei45482\_queue.pyd
- %TEMP%\_mei45482\_socket.pyd
- %TEMP%\_mei45482\_sqlite3.pyd
- %TEMP%\_mei45482\_ssl.pyd
- %TEMP%\_mei45482\_wmi.pyd
- %TEMP%\_mei45482\base_library.zip
- %TEMP%\_mei45482\certifi\cacert.pem
- %TEMP%\_mei45482\charset_normalizer\cd.cp313-win_amd64.pyd
- %TEMP%\_mei45482\charset_normalizer\md.cp313-win_amd64.pyd
- %TEMP%\_mei45482\cryptography-48.0.0.dist-info\installer
- %TEMP%\_mei45482\cryptography-48.0.0.dist-info\metadata
- %TEMP%\_mei45482\cryptography-48.0.0.dist-info\record
- %TEMP%\_mei45482\cryptography-48.0.0.dist-info\wheel
- %TEMP%\_mei45482\cryptography-48.0.0.dist-info\licenses\license
- %TEMP%\_mei45482\cryptography-48.0.0.dist-info\licenses\license.apache
- %TEMP%\_mei45482\cryptography-48.0.0.dist-info\licenses\license.bsd
- %TEMP%\_mei45482\cryptography-48.0.0.dist-info\sboms\cryptography-rust.cyclonedx.json
- %TEMP%\_mei45482\cryptography-48.0.0.dist-info\sboms\sbom.json
- %TEMP%\_mei45482\cryptography\hazmat\bindings\_rust.pyd
- %TEMP%\_mei45482\libcrypto-3.dll
- %TEMP%\_mei45482\libffi-8.dll
- %TEMP%\_mei45482\libssl-3.dll
- %TEMP%\_mei45482\psutil\_psutil_windows.pyd
- %TEMP%\_mei45482\pyexpat.pyd
- %TEMP%\_mei45482\python3.dll
- %TEMP%\_mei45482\python313.dll
- %TEMP%\_mei45482\pywin32_system32\pywintypes313.dll
- %TEMP%\_mei45482\select.pyd
- %TEMP%\_mei45482\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\installer
- %TEMP%\_mei45482\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\metadata
- %TEMP%\_mei45482\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\record
- %TEMP%\_mei45482\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\wheel
- %TEMP%\_mei45482\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\licenses\license
- %TEMP%\_mei45482\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\top_level.txt
- %TEMP%\_mei45482\setuptools\_vendor\jaraco\text\lorem ipsum.txt
- %TEMP%\_mei45482\sqlite3.dll
- %TEMP%\_mei45482\unicodedata.pyd
- %TEMP%\_mei45482\win32\win32api.pyd
- %TEMP%\_mei45482\win32\win32clipboard.pyd
- %TEMP%\_mei45482\win32\win32crypt.pyd
- %TEMP%\_mei45482\win32\win32security.pyd
- %TEMP%\eitnpwt9
- %TEMP%\tmp794oho_1\1.exe
- %TEMP%\tmpja8jo_df\stealer.exe
- %TEMP%\_mei35482\81d243bd2c585b0f4821__mypyc.cp313-win_amd64.pyd
- %TEMP%\_mei35482\pil\_avif.cp313-win_amd64.pyd
- %TEMP%\_mei35482\pil\_imaging.cp313-win_amd64.pyd
- %TEMP%\_mei35482\pil\_imagingcms.cp313-win_amd64.pyd
- %TEMP%\_mei35482\pil\_imagingmath.cp313-win_amd64.pyd
- %TEMP%\_mei35482\pil\_imagingtk.cp313-win_amd64.pyd
- %TEMP%\_mei35482\pil\_webp.cp313-win_amd64.pyd
- %TEMP%\_mei35482\pythonwin\mfc140u.dll
- %TEMP%\_mei35482\pythonwin\win32ui.pyd
- %TEMP%\_mei35482\vcruntime140.dll
- %TEMP%\_mei35482\vcruntime140_1.dll
- %TEMP%\_mei35482\_asyncio.pyd
- %TEMP%\_mei35482\_bz2.pyd
- %TEMP%\_mei35482\_cffi_backend.cp313-win_amd64.pyd
- %TEMP%\_mei35482\_ctypes.pyd
- %TEMP%\_mei35482\_decimal.pyd
- %TEMP%\_mei35482\_elementtree.pyd
- %TEMP%\_mei35482\_hashlib.pyd
- %TEMP%\_mei35482\_lzma.pyd
- %TEMP%\_mei35482\_multiprocessing.pyd
- %TEMP%\_mei35482\_overlapped.pyd
- %TEMP%\_mei35482\_queue.pyd
- %TEMP%\_mei35482\_socket.pyd
- %TEMP%\_mei35482\_sqlite3.pyd
- %TEMP%\_mei35482\_ssl.pyd
- %TEMP%\_mei35482\_wmi.pyd
- %TEMP%\_mei35482\base_library.zip
- %TEMP%\_mei35482\certifi\cacert.pem
- %TEMP%\_mei35482\charset_normalizer\cd.cp313-win_amd64.pyd
- %TEMP%\_mei35482\charset_normalizer\md.cp313-win_amd64.pyd
- %TEMP%\_mei35482\cryptography-48.0.0.dist-info\installer
- %TEMP%\_mei35482\cryptography-48.0.0.dist-info\metadata
- %TEMP%\_mei35482\cryptography-48.0.0.dist-info\record
- %TEMP%\_mei35482\cryptography-48.0.0.dist-info\wheel
- %TEMP%\_mei35482\cryptography-48.0.0.dist-info\licenses\license
- %TEMP%\_mei35482\cryptography-48.0.0.dist-info\licenses\license.apache
- %TEMP%\_mei35482\cryptography-48.0.0.dist-info\licenses\license.bsd
- %TEMP%\_mei35482\cryptography-48.0.0.dist-info\sboms\cryptography-rust.cyclonedx.json
- %TEMP%\_mei35482\cryptography-48.0.0.dist-info\sboms\sbom.json
- %TEMP%\_mei35482\cryptography\hazmat\bindings\_rust.pyd
- %TEMP%\_mei35482\libcrypto-3.dll
- %TEMP%\_mei35482\libffi-8.dll
- %TEMP%\_mei35482\libssl-3.dll
- %TEMP%\_mei35482\psutil\_psutil_windows.pyd
- %TEMP%\_mei35482\pyexpat.pyd
- %TEMP%\_mei35482\python3.dll
- %TEMP%\_mei35482\python313.dll
- %TEMP%\_mei35482\pywin32_system32\pythoncom313.dll
- %TEMP%\_mei35482\pywin32_system32\pywintypes313.dll
- %TEMP%\_mei35482\select.pyd
- %TEMP%\_mei35482\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\installer
- %TEMP%\_mei35482\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\metadata
- %TEMP%\_mei35482\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\record
- %TEMP%\_mei35482\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\wheel
- %TEMP%\_mei35482\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\licenses\license
- %TEMP%\_mei35482\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\top_level.txt
- %TEMP%\_mei35482\setuptools\_vendor\jaraco\text\lorem ipsum.txt
- %TEMP%\_mei35482\sqlite3.dll
- %TEMP%\_mei35482\unicodedata.pyd
- %TEMP%\_mei35482\win32\_win32sysloader.pyd
- %TEMP%\_mei35482\win32\win32api.pyd
- %TEMP%\_mei35482\win32\win32clipboard.pyd
- %TEMP%\_mei35482\win32\win32crypt.pyd
- %TEMP%\_mei35482\win32\win32event.pyd
- %TEMP%\_mei35482\win32\win32security.pyd
- %TEMP%\_mei35482\win32\win32trace.pyd
- %ALLUSERSPROFILE%\yjwwbpjfgyjw\sletikpcfccn.exe
- %WINDIR%\temp\__psscriptpolicytest_2shldtft.vpo.ps1
- %WINDIR%\temp\__psscriptpolicytest_0x1c2w4w.n40.psm1
- %WINDIR%\temp\__psscriptpolicytest_vgyuqbmn.byr.ps1
- %WINDIR%\temp\__psscriptpolicytest_cqyiapfn.ubl.psm1
- <SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive
- %WINDIR%\temp\sejwafmrhmsx.sys
Удаляет файлы, которые сам же создал
- %TEMP%\ahe2gjoh
- %TEMP%\eitnpwt9
- %TEMP%\_mei35482\81d243bd2c585b0f4821__mypyc.cp313-win_amd64.pyd
- %TEMP%\_mei35482\base_library.zip
- %TEMP%\_mei35482\certifi\cacert.pem
- %TEMP%\_mei35482\charset_normalizer\cd.cp313-win_amd64.pyd
- %TEMP%\_mei35482\charset_normalizer\md.cp313-win_amd64.pyd
- %TEMP%\_mei35482\cryptography\hazmat\bindings\_rust.pyd
- %TEMP%\_mei35482\cryptography-48.0.0.dist-info\installer
- %TEMP%\_mei35482\cryptography-48.0.0.dist-info\licenses\license
- %TEMP%\_mei35482\cryptography-48.0.0.dist-info\licenses\license.apache
- %TEMP%\_mei35482\cryptography-48.0.0.dist-info\licenses\license.bsd
- %TEMP%\_mei35482\cryptography-48.0.0.dist-info\metadata
- %TEMP%\_mei35482\cryptography-48.0.0.dist-info\record
- %TEMP%\_mei35482\cryptography-48.0.0.dist-info\sboms\cryptography-rust.cyclonedx.json
- %TEMP%\_mei35482\cryptography-48.0.0.dist-info\sboms\sbom.json
- %TEMP%\_mei35482\cryptography-48.0.0.dist-info\wheel
- %TEMP%\_mei35482\libcrypto-3.dll
- %TEMP%\_mei35482\libffi-8.dll
- %TEMP%\_mei35482\libssl-3.dll
- %TEMP%\_mei35482\pil\_avif.cp313-win_amd64.pyd
- %TEMP%\_mei35482\pil\_imaging.cp313-win_amd64.pyd
- %TEMP%\_mei35482\pil\_imagingcms.cp313-win_amd64.pyd
- %TEMP%\_mei35482\pil\_imagingmath.cp313-win_amd64.pyd
- %TEMP%\_mei35482\pil\_imagingtk.cp313-win_amd64.pyd
- %TEMP%\_mei35482\pil\_webp.cp313-win_amd64.pyd
- %TEMP%\_mei35482\psutil\_psutil_windows.pyd
- %TEMP%\_mei35482\pyexpat.pyd
- %TEMP%\_mei35482\python3.dll
- %TEMP%\_mei35482\python313.dll
- %TEMP%\_mei35482\pythonwin\mfc140u.dll
- %TEMP%\_mei35482\pythonwin\win32ui.pyd
- %TEMP%\_mei35482\pywin32_system32\pythoncom313.dll
- %TEMP%\_mei35482\pywin32_system32\pywintypes313.dll
- %TEMP%\_mei35482\select.pyd
- %TEMP%\_mei35482\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\installer
- %TEMP%\_mei35482\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\licenses\license
- %TEMP%\_mei35482\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\metadata
- %TEMP%\_mei35482\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\record
- %TEMP%\_mei35482\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\top_level.txt
- %TEMP%\_mei35482\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\wheel
- %TEMP%\_mei35482\setuptools\_vendor\jaraco\text\lorem ipsum.txt
- %TEMP%\_mei35482\sqlite3.dll
- %TEMP%\_mei35482\unicodedata.pyd
- %TEMP%\_mei35482\vcruntime140.dll
- %TEMP%\_mei35482\vcruntime140_1.dll
- %TEMP%\_mei35482\win32\win32api.pyd
- %TEMP%\_mei35482\win32\win32clipboard.pyd
- %TEMP%\_mei35482\win32\win32crypt.pyd
- %TEMP%\_mei35482\win32\win32event.pyd
- %TEMP%\_mei35482\win32\win32security.pyd
- %TEMP%\_mei35482\win32\win32trace.pyd
- %TEMP%\_mei35482\win32\_win32sysloader.pyd
- %TEMP%\_mei35482\_asyncio.pyd
- %TEMP%\_mei35482\_bz2.pyd
- %TEMP%\_mei35482\_cffi_backend.cp313-win_amd64.pyd
- %TEMP%\_mei35482\_ctypes.pyd
- %TEMP%\_mei35482\_decimal.pyd
- %TEMP%\_mei35482\_elementtree.pyd
- %TEMP%\_mei35482\_hashlib.pyd
- %TEMP%\_mei35482\_lzma.pyd
- %TEMP%\_mei35482\_multiprocessing.pyd
- %TEMP%\_mei35482\_overlapped.pyd
- %TEMP%\_mei35482\_queue.pyd
- %TEMP%\_mei35482\_socket.pyd
- %TEMP%\_mei35482\_sqlite3.pyd
- %TEMP%\_mei35482\_ssl.pyd
- %TEMP%\_mei35482\_wmi.pyd
- %WINDIR%\temp\__psscriptpolicytest_2shldtft.vpo.ps1
- %WINDIR%\temp\__psscriptpolicytest_0x1c2w4w.n40.psm1
- %WINDIR%\temp\__psscriptpolicytest_vgyuqbmn.byr.ps1
- %WINDIR%\temp\__psscriptpolicytest_cqyiapfn.ubl.psm1
Изменяет следующие файлы
- %LOCALAPPDATA%\microsoft\penworkspace\discovercachedata.dat
Сетевая активность
Подключается к
- 'he##.#cptunnel.su':1591
- 'po##.#ashvault.pro':443
TCP
Другие
- 'po##.#ashvault.pro':443
UDP
- DNS ASK he##.#cptunnel.su
- DNS ASK po##.#ashvault.pro
Другое
Создает и запускает на исполнение
- '%TEMP%\tmpuockxzwl\input.exe'
- '%TEMP%\tmplh2g7wfr\cryptor.dll'
- '%TEMP%\tmp794oho_1\1.exe'
- '%TEMP%\tmpja8jo_df\stealer.exe'
- '%ALLUSERSPROFILE%\yjwwbpjfgyjw\sletikpcfccn.exe'
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "ver" (со скрытым окном)
- '<SYSTEM32>\calc.exe' (со скрытым окном)
- '%ProgramFiles%\windowsapps\microsoft.windowscalculator_10.1906.55.0_x64__8wekyb3d8bbwe\calculator.exe' -ServerName:App.AppXsm3pg4n7er43kdh1qp4e79f1j7am68r8.mca
- '<SYSTEM32>\svchost.exe' -k appmodel -p -s camsvc
- '<SYSTEM32>\cmd.exe' /c wusa /uninstall /kb:890830 /quiet /norestart
- '<SYSTEM32>\sc.exe' stop UsoSvc
- '<SYSTEM32>\sc.exe' stop WaaSMedicSvc
- '<SYSTEM32>\wusa.exe' /uninstall /kb:890830 /quiet /norestart
- '<SYSTEM32>\sc.exe' stop wuauserv
- '<SYSTEM32>\sc.exe' stop bits
- '<SYSTEM32>\sc.exe' stop dosvc
- '<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
- '<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
- '<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
- '<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
- '<SYSTEM32>\dialer.exe'
- '<SYSTEM32>\sc.exe' delete "NUXCTTKD"
- '<SYSTEM32>\sc.exe' create "NUXCTTKD" binpath= "%ALLUSERSPROFILE%\yjwwbpjfgyjw\sletikpcfccn.exe" start= "auto"
- '<SYSTEM32>\sc.exe' stop eventlog
- '<SYSTEM32>\sc.exe' start "NUXCTTKD"
- '%TEMP%\tmpuockxzwl\input.exe' (со скрытым окном)
- '%TEMP%\tmplh2g7wfr\cryptor.dll' (со скрытым окном)
- '%TEMP%\tmp794oho_1\1.exe' (со скрытым окном)
- '%TEMP%\tmpja8jo_df\stealer.exe' (со скрытым окном)
