Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Environment] 'UserInitMprLogonScript' = '"%ALLUSERSPROFILE%\MaroonTulip\RippleOctagon.exe" @'
Вредоносные функции
Патчит код
в динамической библиотеке AMSI
- Процесс rippleoctagon.exe, модуль Amsi.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-54el4ps3xv.tmp\<Имя файла>.tmp
- %TEMP%\is-s4793rqrcy.tmp\_isetup\_setup64.tmp
- %ALLUSERSPROFILE%\maroontulip\is-e85rwh3yf9.tmp
- %ALLUSERSPROFILE%\maroontulip\is-pdt4pvtf4j.tmp
- %ALLUSERSPROFILE%\maroontulip\harboravenue\is-drd1gklf08.tmp
- %ALLUSERSPROFILE%\maroontulip\robinpioneer\is-jgg77agj7g.tmp
- %ALLUSERSPROFILE%\maroontulip\lemursmooth\is-8nocuwnrzf.tmp
- %ALLUSERSPROFILE%\maroontulip\harboravenue\is-zfvslxuf7h.tmp
- %ALLUSERSPROFILE%\maroontulip\robinpioneer\is-miac5utbxh.tmp
- %ALLUSERSPROFILE%\maroontulip\lemursmooth\is-qq02rzl35c.tmp
- %ALLUSERSPROFILE%\maroontulip\harboravenue\is-uyu0o3cg23.tmp
- %ALLUSERSPROFILE%\maroontulip\robinpioneer\is-bvo88nahwk.tmp
- %ALLUSERSPROFILE%\maroontulip\lemursmooth\is-hn38nxw2rs.tmp
- %ALLUSERSPROFILE%\maroontulip\harboravenue\is-598yr2vwx1.tmp
- %ALLUSERSPROFILE%\maroontulip\args.dat
- %APPDATA%\prefslogs\09-23-2026
Удаляет файлы, которые сам же создал
- %TEMP%\is-s4793rqrcy.tmp\_isetup\_setup64.tmp
- %TEMP%\is-54el4ps3xv.tmp\<Имя файла>.tmp
Перемещает следующие файлы
- %ALLUSERSPROFILE%\maroontulip\is-e85rwh3yf9.tmp в %ALLUSERSPROFILE%\maroontulip\cyclone-mistral.exe
- %ALLUSERSPROFILE%\maroontulip\is-pdt4pvtf4j.tmp в %ALLUSERSPROFILE%\maroontulip\rippleoctagon.exe
- %ALLUSERSPROFILE%\maroontulip\harboravenue\is-drd1gklf08.tmp в %ALLUSERSPROFILE%\maroontulip\harboravenue\wandererchorus.wav
- %ALLUSERSPROFILE%\maroontulip\robinpioneer\is-jgg77agj7g.tmp в %ALLUSERSPROFILE%\maroontulip\robinpioneer\berrytorrent.wav
- %ALLUSERSPROFILE%\maroontulip\lemursmooth\is-8nocuwnrzf.tmp в %ALLUSERSPROFILE%\maroontulip\lemursmooth\needlehorizon.wav
- %ALLUSERSPROFILE%\maroontulip\harboravenue\is-zfvslxuf7h.tmp в %ALLUSERSPROFILE%\maroontulip\harboravenue\solsticecreek.wav
- %ALLUSERSPROFILE%\maroontulip\robinpioneer\is-miac5utbxh.tmp в %ALLUSERSPROFILE%\maroontulip\robinpioneer\modestclear.wav
- %ALLUSERSPROFILE%\maroontulip\lemursmooth\is-qq02rzl35c.tmp в %ALLUSERSPROFILE%\maroontulip\lemursmooth\ledgercocoa.wav
- %ALLUSERSPROFILE%\maroontulip\harboravenue\is-uyu0o3cg23.tmp в %ALLUSERSPROFILE%\maroontulip\harboravenue\poppytopaz.wav
- %ALLUSERSPROFILE%\maroontulip\robinpioneer\is-bvo88nahwk.tmp в %ALLUSERSPROFILE%\maroontulip\robinpioneer\creekoverture.wav
- %ALLUSERSPROFILE%\maroontulip\lemursmooth\is-hn38nxw2rs.tmp в %ALLUSERSPROFILE%\maroontulip\lemursmooth\goldenwharf.wav
- %ALLUSERSPROFILE%\maroontulip\harboravenue\is-598yr2vwx1.tmp в %ALLUSERSPROFILE%\maroontulip\harboravenue\plainvista.wav
Сетевая активность
Подключается к
- 'ip##pi.com':80
- '64.#2.80.46':1488
TCP
Запросы HTTP GET
- http://ip##pi.com/json/
Другие
- '64.#2.80.46':1488
UDP
- DNS ASK ip##pi.com
Другое
Создает и запускает на исполнение
- '%TEMP%\is-54el4ps3xv.tmp\<Имя файла>.tmp' /SL5="$1002DA,2656042,893952,<Полный путь к файлу>"
- '%ALLUSERSPROFILE%\maroontulip\cyclone-mistral.exe' "%ALLUSERSPROFILE%\MaroonTulip\RippleOctagon.exe" "%ALLUSERSPROFILE%\MaroonTulip\HarborAvenue\WandererChorus.wav" "%ALLUSERSPROFILE%\MaroonTulip\RobinPioneer\BerryTorrent.wav" "%ALLUSERSPROFILE...
- '%ALLUSERSPROFILE%\maroontulip\rippleoctagon.exe' "%ALLUSERSPROFILE%\MaroonTulip\HarborAvenue\WandererChorus.wav" "%ALLUSERSPROFILE%\MaroonTulip\RobinPioneer\BerryTorrent.wav" "%ALLUSERSPROFILE%\MaroonTulip\LemurSmooth\NeedleHorizon.wav" "%ALL...
