Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Environment] 'UserInitMprLogonScript' = '"%ALLUSERSPROFILE%\MaroonTulip\RippleOctagon.exe" @'
Вредоносные функции
Патчит код
в динамической библиотеке AMSI
- Процесс rippleoctagon.exe, модуль Amsi.dll
- Процесс vibrantzenith.exe, модуль Amsi.dll
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [HKCU\Software\Martin Prikryl\WinSCP 2\Sessions]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\storexa3p2\profile.ini
- %LOCALAPPDATA%\storexa3p2\update.log
- %LOCALAPPDATA%\storexa3p2\newupdates1.zip
- %LOCALAPPDATA%\storexa3p2\newupdates1.exe
- %LOCALAPPDATA%\storexa3p2\newupdates2.zip
- %LOCALAPPDATA%\storexa3p2\newupdates2.exe
- %LOCALAPPDATA%\storexa3p2\newupdates3.zip
- %LOCALAPPDATA%\storexa3p2\newupdates3.exe
- %TEMP%\is-s6gmhcq3lb.tmp\newupdates2.tmp
- %TEMP%\is-9bl8q0b117.tmp\newupdates3.tmp
- %TEMP%\is-bf201e9jjh.tmp\_isetup\_setup64.tmp
- %TEMP%\is-3dphiiik5w.tmp\_isetup\_setup64.tmp
- %ALLUSERSPROFILE%\maroontulip\is-7enx4axhjn.tmp
- %TEMP%\maroonmosaic\is-hbibbyxjxr.tmp
- %TEMP%\maroonmosaic\is-zdj4tlrmaj.tmp
- %ALLUSERSPROFILE%\maroontulip\is-m5zzqr5v6m.tmp
- %ALLUSERSPROFILE%\maroontulip\harboravenue\is-rlz4dk4igt.tmp
- %TEMP%\maroonmosaic\cadenceneedle\is-8xjlzw3u9u.tmp
- %ALLUSERSPROFILE%\maroontulip\robinpioneer\is-nfgbeoa5d3.tmp
- %TEMP%\maroonmosaic\appleeasel\is-zxrraqxn1k.tmp
- %ALLUSERSPROFILE%\maroontulip\lemursmooth\is-xhehk46lym.tmp
- %TEMP%\maroonmosaic\velvetgarden\is-sa1w19yhly.tmp
- %ALLUSERSPROFILE%\maroontulip\harboravenue\is-mzfxqraiha.tmp
- %TEMP%\maroonmosaic\cadenceneedle\is-o8nf8tk730.tmp
- %ALLUSERSPROFILE%\maroontulip\robinpioneer\is-4g481g3cws.tmp
- %TEMP%\maroonmosaic\appleeasel\is-188c1tm0t7.tmp
- %ALLUSERSPROFILE%\maroontulip\lemursmooth\is-ojhqymq9ai.tmp
- %TEMP%\maroonmosaic\velvetgarden\is-zz2xd2lyvy.tmp
- %ALLUSERSPROFILE%\maroontulip\harboravenue\is-s1fq9hptei.tmp
- %TEMP%\maroonmosaic\cadenceneedle\is-92p3kueent.tmp
- %ALLUSERSPROFILE%\maroontulip\robinpioneer\is-55nxn9scyc.tmp
- %TEMP%\maroonmosaic\appleeasel\is-6zvhrm9tm0.tmp
- %ALLUSERSPROFILE%\maroontulip\lemursmooth\is-12or56hfsq.tmp
- %ALLUSERSPROFILE%\maroontulip\harboravenue\is-drp7111qra.tmp
- %TEMP%\maroonmosaic\velvetgarden\is-p67v4oz9vt.tmp
- %ALLUSERSPROFILE%\maroontulip\args.dat
- %APPDATA%\prefslogs\09-22-2026
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\vibrantzenith.exe.log
Удаляет файлы, которые сам же создал
- %TEMP%\is-bf201e9jjh.tmp\_isetup\_setup64.tmp
- %TEMP%\is-3dphiiik5w.tmp\_isetup\_setup64.tmp
- %TEMP%\is-s6gmhcq3lb.tmp\newupdates2.tmp
- %TEMP%\is-9bl8q0b117.tmp\newupdates3.tmp
Перемещает следующие файлы
- %TEMP%\maroonmosaic\is-hbibbyxjxr.tmp в %TEMP%\maroonmosaic\foggy-bronze.exe
- %ALLUSERSPROFILE%\maroontulip\is-7enx4axhjn.tmp в %ALLUSERSPROFILE%\maroontulip\cyclone-mistral.exe
- %TEMP%\maroonmosaic\is-zdj4tlrmaj.tmp в %TEMP%\maroonmosaic\vibrantzenith.exe
- %ALLUSERSPROFILE%\maroontulip\is-m5zzqr5v6m.tmp в %ALLUSERSPROFILE%\maroontulip\rippleoctagon.exe
- %ALLUSERSPROFILE%\maroontulip\harboravenue\is-rlz4dk4igt.tmp в %ALLUSERSPROFILE%\maroontulip\harboravenue\wandererchorus.wav
- %TEMP%\maroonmosaic\cadenceneedle\is-8xjlzw3u9u.tmp в %TEMP%\maroonmosaic\cadenceneedle\jasperavenue.wav
- %ALLUSERSPROFILE%\maroontulip\robinpioneer\is-nfgbeoa5d3.tmp в %ALLUSERSPROFILE%\maroontulip\robinpioneer\berrytorrent.wav
- %TEMP%\maroonmosaic\appleeasel\is-zxrraqxn1k.tmp в %TEMP%\maroonmosaic\appleeasel\waveletllama.wav
- %ALLUSERSPROFILE%\maroontulip\lemursmooth\is-xhehk46lym.tmp в %ALLUSERSPROFILE%\maroontulip\lemursmooth\needlehorizon.wav
- %TEMP%\maroonmosaic\velvetgarden\is-sa1w19yhly.tmp в %TEMP%\maroonmosaic\velvetgarden\needlemorning.wav
- %ALLUSERSPROFILE%\maroontulip\harboravenue\is-mzfxqraiha.tmp в %ALLUSERSPROFILE%\maroontulip\harboravenue\solsticecreek.wav
- %TEMP%\maroonmosaic\cadenceneedle\is-o8nf8tk730.tmp в %TEMP%\maroonmosaic\cadenceneedle\preludeplatinum.wav
- %ALLUSERSPROFILE%\maroontulip\robinpioneer\is-4g481g3cws.tmp в %ALLUSERSPROFILE%\maroontulip\robinpioneer\modestclear.wav
- %ALLUSERSPROFILE%\maroontulip\lemursmooth\is-ojhqymq9ai.tmp в %ALLUSERSPROFILE%\maroontulip\lemursmooth\ledgercocoa.wav
- %TEMP%\maroonmosaic\appleeasel\is-188c1tm0t7.tmp в %TEMP%\maroonmosaic\appleeasel\octagonbirch.wav
- %TEMP%\maroonmosaic\velvetgarden\is-zz2xd2lyvy.tmp в %TEMP%\maroonmosaic\velvetgarden\daybreakcyclone.wav
- %ALLUSERSPROFILE%\maroontulip\harboravenue\is-s1fq9hptei.tmp в %ALLUSERSPROFILE%\maroontulip\harboravenue\poppytopaz.wav
- %TEMP%\maroonmosaic\cadenceneedle\is-92p3kueent.tmp в %TEMP%\maroonmosaic\cadenceneedle\quietheron.wav
- %ALLUSERSPROFILE%\maroontulip\robinpioneer\is-55nxn9scyc.tmp в %ALLUSERSPROFILE%\maroontulip\robinpioneer\creekoverture.wav
- %ALLUSERSPROFILE%\maroontulip\lemursmooth\is-12or56hfsq.tmp в %ALLUSERSPROFILE%\maroontulip\lemursmooth\goldenwharf.wav
- %ALLUSERSPROFILE%\maroontulip\harboravenue\is-drp7111qra.tmp в %ALLUSERSPROFILE%\maroontulip\harboravenue\plainvista.wav
- %TEMP%\maroonmosaic\appleeasel\is-6zvhrm9tm0.tmp в %TEMP%\maroonmosaic\appleeasel\sprayberyl.wav
- %TEMP%\maroonmosaic\velvetgarden\is-p67v4oz9vt.tmp в %TEMP%\maroonmosaic\velvetgarden\deltatundra.wav
Сетевая активность
Подключается к
- '17#.#6.75.202':80
- 'localhost':49694
- 'ur#.##overpool.com':443
- '12#.#5.231.32':80
- 'localhost':49699
- 'do#####d.cloverpool.com':443
- '69.##.228.77':8443
- 'oc##.#igicert.cn':80
- 'ip##pi.com':80
- '64.#2.80.46':1488
TCP
Запросы HTTP GET
- http://17#.#6.75.202/storage-2/newupdates3.zip
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?03##############
- http://oc##.#igicert.cn/MFEwTzBNMEswSTAJBgUrDgMCGgUABBTBRr4%2BiIrsX9hkefvihPQKu88%2B%2FgQUxauLpwY1%2Fdd9vOT582SojD%2FYwDkCEARa9oYvBUfxYq4ONtegKeg%3D
- http://ip##pi.com/json/
Другие
- 'localhost':49694
- 'localhost':49695
- 'ur#.##overpool.com':443
- 'localhost':49699
- 'localhost':49700
- 'do#####d.cloverpool.com':443
- '69.##.228.77':8443
- '64.#2.80.46':1488
UDP
- DNS ASK ur#.##overpool.com
- DNS ASK do#####d.cloverpool.com
- DNS ASK oc##.#igicert.cn
- DNS ASK ip##pi.com
Другое
Создает и запускает на исполнение
- '%LOCALAPPDATA%\storexa3p2\newupdates1.exe'
- '%LOCALAPPDATA%\storexa3p2\newupdates2.exe'
- '%LOCALAPPDATA%\storexa3p2\newupdates3.exe'
- '%TEMP%\is-9bl8q0b117.tmp\newupdates3.tmp' /SL5="$C01D0,4111304,893952,%LOCALAPPDATA%\StorexA3P2\newupdates3.exe"
- '%TEMP%\is-s6gmhcq3lb.tmp\newupdates2.tmp' /SL5="$801BC,2656042,893952,%LOCALAPPDATA%\StorexA3P2\newupdates2.exe"
- '%ALLUSERSPROFILE%\maroontulip\cyclone-mistral.exe' "%ALLUSERSPROFILE%\MaroonTulip\RippleOctagon.exe" "%ALLUSERSPROFILE%\MaroonTulip\HarborAvenue\WandererChorus.wav" "%ALLUSERSPROFILE%\MaroonTulip\RobinPioneer\BerryTorrent.wav" "%ALLUSERSPROFILE...
- '%TEMP%\maroonmosaic\foggy-bronze.exe' "%TEMP%\MaroonMosaic\VibrantZenith.exe" "%TEMP%\MaroonMosaic\CadenceNeedle\JasperAvenue.wav" "%TEMP%\MaroonMosaic\AppleEasel\WaveletLlama.wav" "%TEMP%\MaroonMosaic\VelvetGarden\NeedleMorning.wa...
- '%ALLUSERSPROFILE%\maroontulip\rippleoctagon.exe' "%ALLUSERSPROFILE%\MaroonTulip\HarborAvenue\WandererChorus.wav" "%ALLUSERSPROFILE%\MaroonTulip\RobinPioneer\BerryTorrent.wav" "%ALLUSERSPROFILE%\MaroonTulip\LemurSmooth\NeedleHorizon.wav" "%ALL...
- '%TEMP%\maroonmosaic\vibrantzenith.exe' "%TEMP%\MaroonMosaic\CadenceNeedle\JasperAvenue.wav" "%TEMP%\MaroonMosaic\AppleEasel\WaveletLlama.wav" "%TEMP%\MaroonMosaic\VelvetGarden\NeedleMorning.wav"
