Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Gevrkolbes' = '%TEMP%\Requested\Guardianess.exe'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run\] 'Rmc-DJMVMO' = '"%ALLUSERSPROFILE%\Remcos\remcos.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run\] 'Rmc-DJMVMO' = '"%ALLUSERSPROFILE%\Remcos\remcos.exe"'
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- remcos.exe
Патчит код
в динамической библиотеке
- Процесс rslylc.exe, модуль KERNEL32.dll
- Процесс rslylc.exe, модуль KERNELBASE.dll
- Процесс rslylc.exe, модуль RPCRT4.dll
- Процесс rslylc.exe, модуль ole32.dll
- Процесс rslylc.exe, модуль combase.dll
- Процесс rslylc.exe, модуль bcryptPrimitives.dll
- Процесс rslylc.exe, модуль CLBCatQ.DLL
- Процесс rslylc.exe, модуль bcrypt.dll
- Процесс rslylc.exe, модуль SCHANNEL.dll
- Процесс rslylc.exe, модуль mskeyprotect.dll
- Процесс rslylc.exe, модуль NTASN1.dll
- Процесс rslylc.exe, модуль CRYPT32.dll
- Процесс rslylc.exe, модуль RSAENH.dll
- Процесс rslylc.exe, модуль ncrypt.dll
- Процесс rslylc.exe, модуль ncryptsslp.dll
- Процесс remcos.exe, модуль KERNEL32.dll
в динамической библиотеке NTDLL
- Процесс rslylc.exe, модуль ntdll.dll
- Процесс remcos.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\barbaras250\eksperimentalteaterets\tropismatic
- %HOMEPATH%\barbaras250\eksperimentalteaterets\autodafqsen.daa
- %HOMEPATH%\barbaras250\eksperimentalteaterets\miljbeskyttelseshensynene
- %HOMEPATH%\barbaras250\eksperimentalteaterets\arbejdsgiverorganisationen.ser
- %HOMEPATH%\barbaras250\eksperimentalteaterets\coccin.hal
- %HOMEPATH%\barbaras250\eksperimentalteaterets\gem.for
- %HOMEPATH%\barbaras250\eksperimentalteaterets\johannes.tai
- %HOMEPATH%\barbaras250\eksperimentalteaterets\salvage.kry
- %TEMP%\callisto.ini
- %HOMEPATH%\afbillede.ini
- %TEMP%\nso6b0b.tmp\system.dll
- %TEMP%\requested\guardianess.exe
- %ALLUSERSPROFILE%\remcos\remcos.exe
- %TEMP%\nsg1729.tmp\system.dll
Сетевая активность
Подключается к
- 'be###lle.biz':443
- 'oc##.##lsecuretrust.com':80
- 'cr##.ssl.com':80
- 'oc###.ssl.com':80
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?a3##############
- http://cr##.ssl.com/SSLcom-TLS-Root-2022-RSA.crl
- http://oc###.ssl.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBSw%2FJflvJoS3MArxLrr2Jd3vmTF9gQUebqUd6ANGd005jmk%2FEyl0lpt9YwCEFmoKGQ1Oo1mbm0RyTs48UA%3D
Запросы HTTP POST
- http://oc##.##lsecuretrust.com/
Другие
- 'be###lle.biz':443
UDP
- DNS ASK be###lle.biz
- DNS ASK oc##.##lsecuretrust.com
- DNS ASK cr##.ssl.com
- DNS ASK oc###.ssl.com
Другое
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\remcos\remcos.exe'
Перезапускает анализируемый образец
