Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Syshost' = '"%APPDATA%\syshost.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdateSvc' = '%APPDATA%\svchostjif.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\windows security checks
- %WINDIR%\tasks\synchost.job
- <SYSTEM32>\tasks\synchost
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\sihost.exe
- <SYSTEM32>\runtimebroker.exe
- %WINDIR%\explorer.exe
следующие пользовательские процессы:
- msedge.exe
Патчит код
в динамической библиотеке
- Процесс unlocktoolpro.exe, модуль clrjit.dll
в динамической библиотеке AMSI
- Процесс vwf6p7nr.exe, модуль Amsi.dll
- Процесс unlocktoolpro.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс vwf6p7nr.exe, модуль ntdll.dll
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\browse.html
- %HOMEPATH%\desktop\iisstart.htm
- %HOMEPATH%\desktop\trivial-merge.html
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
- %APPDATA%\mozilla\firefox\profiles.ini
- %HOMEPATH%\desktop\contosoroot.cer
- %HOMEPATH%\desktop\contoso_1.cer
- %HOMEPATH%\desktop\sdksampleunprivdeveloper.cer
- %HOMEPATH%\desktop\sdkfailsafeemulator.cer
- %HOMEPATH%\desktop\testee.cer
- %HOMEPATH%\desktop\testcertificate.cer
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\heto9786.exe
- %TEMP%\094avt72.exe
- %TEMP%\25z8hkkx.exe
- %TEMP%\zkay6oxp.exe
- %TEMP%\5vavwgw5.exe
- %TEMP%\vwf6p7nr.exe
- %APPDATA%\syshost.exe
- %APPDATA%\svchostjif.exe
- %TEMP%\qziqb6bz.exe
- %APPDATA%\synchost.exe
- %TEMP%\is-ydit4kk358.tmp\heto9786.tmp
- %APPDATA%\microsoft\windows\services\wlrmdr.exe
- <Текущая директория>\unlocktoolpro.exe
- %ALLUSERSPROFILE%\microsoft\crypto\rsa\s-1-5-18\d42cc0c3858a58db2db37658219e6400_8cf7b530-613e-439b-a8c5-ccfc0e745400
- %TEMP%\is-yyy3m3tlts.tmp\_isetup\_isdecmp.dll
- %TEMP%\10000050101\a595f30d6d74713f_0.exe
- %TEMP%\is-bhn7tytawi.tmp\a595f30d6d74713f_0.tmp
- %TEMP%\is-50oyeq2l6z.tmp\_isetup\_isdecmp.dll
- %TEMP%\10000060101\ed6203f89b1c445b_1.exe
- %TEMP%\10000080101\fc315fa753b0b4a8_zx.exe
- %TEMP%\_mei000007482\vcruntime140.dll
- %TEMP%\_mei000007482\_bz2.pyd
- %TEMP%\_mei000007482\_ctypes.pyd
- %TEMP%\_mei000007482\_decimal.pyd
- %TEMP%\_mei000007482\_hashlib.pyd
- %TEMP%\_mei000007482\_lzma.pyd
- %TEMP%\_mei000007482\_socket.pyd
- %TEMP%\_mei000007482\base_library.zip
- %TEMP%\_mei000007482\libcrypto-3.dll
- %TEMP%\_mei000007482\libffi-8.dll
- %TEMP%\_mei000007482\python313.dll
- %TEMP%\_mei000007482\select.pyd
- %TEMP%\_mei000007482\unicodedata.pyd
- %TEMP%\tlpo4yw7.exe
- %TEMP%\ilyh0wni.exe
- %TEMP%\29wdxxgf.exe
- %TEMP%\is-m7qn93fv3c.tmp\29wdxxgf.tmp
- %TEMP%\is-q1hepd1xis.tmp\_isetup\_isdecmp.dll
- %TEMP%\wezlej6a.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\syshost.exe
- %APPDATA%\svchostjif.exe
- %APPDATA%\synchost.exe
- %APPDATA%\microsoft\windows\services\wlrmdr.exe
- <Текущая директория>\unlocktoolpro.exe
Удаляет файлы, которые сам же создал
- %TEMP%\_mei000007482\base_library.zip
- %TEMP%\_mei000007482\libcrypto-3.dll
- %TEMP%\_mei000007482\libffi-8.dll
- %TEMP%\_mei000007482\python313.dll
- %TEMP%\_mei000007482\select.pyd
- %TEMP%\_mei000007482\unicodedata.pyd
- %TEMP%\_mei000007482\vcruntime140.dll
- %TEMP%\_mei000007482\_bz2.pyd
- %TEMP%\_mei000007482\_ctypes.pyd
- %TEMP%\_mei000007482\_decimal.pyd
- %TEMP%\_mei000007482\_hashlib.pyd
- %TEMP%\_mei000007482\_lzma.pyd
- %TEMP%\_mei000007482\_socket.pyd
Изменяет следующие файлы
Сетевая активность
Подключается к
- '19#.#78.158.107':80
- 'google.com':80
- 'bing.com':80
- '19#.#51.107.186':80
TCP
Запросы HTTP GET
- http://www.google.com/
- http://www.bing.com/
- http://19#.#78.158.107//uploads/587d028767930cea_60.php
Запросы HTTP POST
- http://19#.#78.158.107/auth.php
- http://19#.#78.158.107/Bjsw3DlG1/index.php
- http://19#.#51.107.186/8jdjZhdf7/index.php
UDP
- DNS ASK google.com
- DNS ASK bing.com
Другое
Создает и запускает на исполнение
- '%TEMP%\heto9786.exe'
- '%TEMP%\094avt72.exe'
- '%TEMP%\25z8hkkx.exe'
- '%TEMP%\zkay6oxp.exe'
- '%TEMP%\5vavwgw5.exe'
- '%TEMP%\vwf6p7nr.exe'
- '%APPDATA%\syshost.exe'
- '%TEMP%\qziqb6bz.exe'
- '%APPDATA%\synchost.exe'
- '%TEMP%\is-ydit4kk358.tmp\heto9786.tmp' /SL5="$E01F8,3755066,888832,%TEMP%\heto9786.exe"
- '<Текущая директория>\unlocktoolpro.exe'
- '%TEMP%\10000050101\a595f30d6d74713f_0.exe'
- '%TEMP%\is-bhn7tytawi.tmp\a595f30d6d74713f_0.tmp' /SL5="$801E4,3755066,888832,%TEMP%\10000050101\a595f30d6d74713f_0.exe"
- '%TEMP%\10000060101\ed6203f89b1c445b_1.exe'
- '%TEMP%\10000080101\fc315fa753b0b4a8_zx.exe'
- '%TEMP%\tlpo4yw7.exe'
- '%TEMP%\ilyh0wni.exe'
- '%TEMP%\29wdxxgf.exe'
- '%TEMP%\is-m7qn93fv3c.tmp\29wdxxgf.tmp' /SL5="$3033A,3755066,888832,%TEMP%\29wdxxgf.exe"
- '%TEMP%\wezlej6a.exe'
Запускает на исполнение
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --no-sandbox
- '<SYSTEM32>\cmd.exe' /c "netsh wlan export profile key=clear folder="%TEMP%\dia_wifi_tmp\" 2>nul" (со скрытым окном)
- '<SYSTEM32>\netsh.exe' wlan export profile key=clear folder="%TEMP%\dia_wifi_tmp\"
- '%APPDATA%\syshost.exe' (со скрытым окном)
- '%TEMP%\10000050101\a595f30d6d74713f_0.exe' (со скрытым окном)
- '%TEMP%\10000060101\ed6203f89b1c445b_1.exe' (со скрытым окном)
- '%TEMP%\10000080101\fc315fa753b0b4a8_zx.exe' (со скрытым окном)
- '%TEMP%\65cbb126b2824059ae6b.exe' (со скрытым окном)
- '%TEMP%\3264788c53ff4600a55e.exe' (со скрытым окном)
