Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\ishare
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath 'C:\Users\Public\assist4'"
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\downloads\rkhkist.dat
- C:\users\public\downloads\jhwbfvyf.dat
- C:\users\public\assist4\microsoft.vc90.atl.manifest
- C:\users\public\assist4\microsoft.vc90.crt.manifest
- C:\users\public\assist4\task.dat
- C:\users\public\assist4\ueyyjqjowxxj.xcp
- C:\users\public\assist4\ishare_user.exe
- C:\users\public\assist4\libcurl.dll
- C:\users\public\assist4\libeay32.dll
- C:\users\public\assist4\liboauth.dll
- C:\users\public\assist4\libswasync.dll
- C:\users\public\assist4\msvcp90.dll
- C:\users\public\assist4\msvcr90.dll
- C:\users\public\assist4\original_libswasync.dll
- C:\users\public\assist4\sqlite3.dll
- C:\users\public\assist4\ssleay32.dll
- C:\users\public\<Имя файла>.exe
- C:\users\public\assist4\ishare_user.dat
Удаляет файлы, которые сам же создал
- C:\users\public\downloads\rkhkist.dat
- C:\users\public\downloads\jhwbfvyf.dat
Сетевая активность
Подключается к
- 'localhost':49694
- 'am############ket.s3.ap-northeast-1.amazonaws.com':443
- 'dm.###egrem.store':1688
- 'af##.##loudflareb.com':80
- 'af##.##loudflareb.com':1121
TCP
Другие
- 'localhost':49694
- 'localhost':49695
- 'am############ket.s3.ap-northeast-1.amazonaws.com':443
- 'af##.##loudflareb.com':1121
UDP
- DNS ASK am############ket.s3.ap-northeast-1.amazonaws.com
- DNS ASK af##.##loudflareb.com
- DNS ASK dm.###egrem.store
Другое
Создает и запускает на исполнение
- 'C:\users\public\assist4\ishare_user.exe'
Запускает на исполнение
- 'C:\users\public\assist4\ishare_user.exe' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath 'C:\Users\Public\assist4'" (со скрытым окном)
