Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\defendnot
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath %LOCALAPPDATA%\Microsoft
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath %WINDIR%
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath %LOCALAPPDATA%\Microsoft
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath %WINDIR%
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM chrome.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM msedge.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM msedgewebview2.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM MicrosoftEdgeUpdate.exe /T
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\taskmgr.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\taskmgr.exe
Изменения в файловой системе
Создает следующие файлы
- nul
- %WINDIR%\ifmzxqyz\defendnot-loader.pdb
- %WINDIR%\ifmzxqyz\defendnot.pdb
- %WINDIR%\ifmzxqyz\extra-strip.bat
- %WINDIR%\ifmzxqyz\defendnot.dll
- %WINDIR%\ifmzxqyz\defendnot-loader.exe
- %TEMP%\dn-358666029.ps1
- %WINDIR%\ifmzxqyz\ctx.bin
- %LOCALAPPDATA%\microsoft\updater_khdbkwmg.exe
- %LOCALAPPDATA%\packages\extensions\6fd13fbfdfe73932a8790664f0de49c354d38ef9d07a0b4fe42953bb209a5ec7\e0\icons\128.png
- %LOCALAPPDATA%\packages\extensions\6fd13fbfdfe73932a8790664f0de49c354d38ef9d07a0b4fe42953bb209a5ec7\e0\icons\16.png
- %LOCALAPPDATA%\packages\extensions\6fd13fbfdfe73932a8790664f0de49c354d38ef9d07a0b4fe42953bb209a5ec7\e0\icons\32.png
- %LOCALAPPDATA%\packages\extensions\6fd13fbfdfe73932a8790664f0de49c354d38ef9d07a0b4fe42953bb209a5ec7\e0\icons\48.png
- %LOCALAPPDATA%\packages\extensions\6fd13fbfdfe73932a8790664f0de49c354d38ef9d07a0b4fe42953bb209a5ec7\e0\icon.png
- %LOCALAPPDATA%\packages\extensions\6fd13fbfdfe73932a8790664f0de49c354d38ef9d07a0b4fe42953bb209a5ec7\e0\manifest.json
- %LOCALAPPDATA%\packages\extensions\6fd13fbfdfe73932a8790664f0de49c354d38ef9d07a0b4fe42953bb209a5ec7\e0\service-worker-loader.js
- %LOCALAPPDATA%\packages\extensions\6fd13fbfdfe73932a8790664f0de49c354d38ef9d07a0b4fe42953bb209a5ec7\e0\assets\background.ts-d6ognsgd.js
- %LOCALAPPDATA%\packages\extensions\6fd13fbfdfe73932a8790664f0de49c354d38ef9d07a0b4fe42953bb209a5ec7\e0\assets\content.ts-b6xgi__y.js
- %LOCALAPPDATA%\packages\extensions\6fd13fbfdfe73932a8790664f0de49c354d38ef9d07a0b4fe42953bb209a5ec7-agent\downloads\593421_vcomp140_12652a425a.exe.part
- %LOCALAPPDATA%\packages\extensions\6fd13fbfdfe73932a8790664f0de49c354d38ef9d07a0b4fe42953bb209a5ec7-agent\executed_tasks.json
- %WINDIR%\qxvk2e8o\defendnot-loader.pdb
- %WINDIR%\qxvk2e8o\defendnot.pdb
- %WINDIR%\qxvk2e8o\extra-strip.bat
- %WINDIR%\qxvk2e8o\defendnot.dll
- %WINDIR%\qxvk2e8o\defendnot-loader.exe
- %TEMP%\dn-3884447439.ps1
- %WINDIR%\qxvk2e8o\ctx.bin
Удаляет файлы, которые сам же создал
- <SYSTEM32>\tasks\defendnot
Перемещает следующие файлы
- %LOCALAPPDATA%\packages\extensions\6fd13fbfdfe73932a8790664f0de49c354d38ef9d07a0b4fe42953bb209a5ec7-agent\downloads\593421_vcomp140_12652a425a.exe.part в %LOCALAPPDATA%\packages\extensions\6fd13fbfdfe73932a8790664f0de49c354d38ef9d07a0b4fe42953bb209a5ec7-agent\downloads\593421_vcomp140_12652a425a.exe
Сетевая активность
Подключается к
- '87.##0.104.147':8080
TCP
Запросы HTTP GET
Запросы HTTP POST
- /api/v1/checkin via 87.##0.104.147
- /api/v1/agent/tasks/593421/ack via 87.##0.104.147
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\ifmzxqyz\defendnot-loader.exe' --silent
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command %TEMP%\dn-358666029.ps1
- '%LOCALAPPDATA%\microsoft\updater_khdbkwmg.exe'
- '%LOCALAPPDATA%\packages\extensions\6fd13fbfdfe73932a8790664f0de49c354d38ef9d07a0b4fe42953bb209a5ec7-agent\downloads\593421_vcomp140_12652a425a.exe'
- '%WINDIR%\qxvk2e8o\defendnot-loader.exe' --silent
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command %TEMP%\dn-3884447439.ps1
- '%WINDIR%\qxvk2e8o\defendnot-loader.exe' --silent --name kmUzdzkM
Запускает на исполнение
- '<SYSTEM32>\taskmgr.exe'
- '<SYSTEM32>\getmac.exe' /fo csv /nh
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -Command "Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct | Select-Object -ExpandProperty displayName"
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\0jnhxmjz\0jnhxmjz.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES599B.tmp" "%TEMP%\0jnhxmjz\CSC8005907EFF124FD48BAC1140E721DCCC.TMP" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""%WINDIR%\qXvk2E8O\extra-strip.bat""
- '%WINDIR%\ifmzxqyz\defendnot-loader.exe' --silent (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command %TEMP%\dn-358666029.ps1 (со скрытым окном)
- '%LOCALAPPDATA%\microsoft\updater_khdbkwmg.exe' (со скрытым окном)
- '%WINDIR%\qxvk2e8o\defendnot-loader.exe' --silent (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command %TEMP%\dn-3884447439.ps1 (со скрытым окном)
