Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdateSvc' = '%APPDATA%\svchosttku.exe'
- [HKCU\Software\Microsoft\Windows\Currentversion\Run] '3deda964.exe' = '"%ALLUSERSPROFILE%\3deda964.exe"'
- [HKCU\Environment] 'UserInitMprLogonScript' = '"<SYSTEM32>\cmd.exe" /c start /b "" "%APPDATA%\Microsoft\Windows\Services\wlrmdr.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\windows security checks
- <SYSTEM32>\tasks\users\user\windowspushnotifsvc
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\MsSecFlt] 'ImagePath' = '%TEMP%\MsSecFlt.sys'
Создает следующие сервисы
- 'MsSecFlt' %TEMP%\MsSecFlt.sys
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Межсетевой экран (Брандмауэр Windows)
- Обновления системы (Windows Update)
- Центр обеспечения безопасности (Security Center)
- Системный антивирус (Защитник Windows)
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\sihost.exe
- %WINDIR%\explorer.exe
- <SYSTEM32>\runtimebroker.exe
следующие пользовательские процессы:
- firefox.exe
- msedge.exe
Перехватывает функции
в браузерах
- Процесс firefox.exe, модуль nss3.dll
Патчит код
в динамической библиотеке AMSI
- Процесс hho2nir6.exe, модуль Amsi.dll
- Процесс jz8u.exe, модуль Amsi.dll
- Процесс lf8v.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс hho2nir6.exe, модуль ntdll.dll
- Процесс jz8u.exe, модуль ntdll.dll
- Процесс lf8v.exe, модуль ntdll.dll
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\securityhealthservice.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [HKCU\Software\Martin Prikryl\WinSCP 2\Sessions]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
- %APPDATA%\mozilla\firefox\profiles.ini
- %HOMEPATH%\desktop\pmd.cer
- %HOMEPATH%\desktop\contosoroot_1.cer
- %HOMEPATH%\desktop\contoso_1.cer
- %HOMEPATH%\desktop\sdkfailsafeemulator.cer
- %HOMEPATH%\desktop\testcertificate.cer
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\weeklysheet1215.doc
Изменяет следующие настройки браузера Windows Internet Explorer
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1406' = '00000000'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1406' = '00000000'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1406' = '00000000'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1406' = '00000000'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1609' = '00000000'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1609' = '00000000'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1609' = '00000000'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1609' = '00000000'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1A02' = '00000000'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1A10' = '00000000'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1A10' = '00000000'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1A10' = '00000000'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1A03' = '00000000'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1A05' = '00000000'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1A05' = '00000000'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1A05' = '00000000'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1A06' = '00000000'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '1609' = '00000000'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\2zco31mu.exe
- %TEMP%\mjoo5qx7.exe
- %TEMP%\hho2nir6.exe
- %TEMP%\vyrx7cdx.exe
- %LOCALAPPDATA%\microsoft\syshost.exe
- %TEMP%\msedgeupdate.xml
- %TEMP%\czkl78vq.exe
- %APPDATA%\microsoft\windows\services\wlrmdr.exe
- %APPDATA%\svchosttku.exe
- %TEMP%\8jdq39pj.exe
- %TEMP%\z56aln68.exe
- <Текущая директория>\socialphoneextractor.exe
- %TEMP%\mssecflt.sys
- %ALLUSERSPROFILE%\3deda964.exe
- %TEMP%\jz8u.exe
- %TEMP%\u08u.exe
- %TEMP%\jj06zhz4.exe
- %TEMP%\9nhj8tya.exe
- %TEMP%\ar7v.exe
- %TEMP%\lf8v.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\microsoft\windows\services\wlrmdr.exe
- %APPDATA%\svchosttku.exe
- <Текущая директория>\socialphoneextractor.exe
- %ALLUSERSPROFILE%\3deda964.exe
Удаляет следующие системные файлы
- %WINDIR%\elambkup\wdboot.sys
- <SYSTEM32>\tasks\microsoft\windows\windows defender\windows defender cache maintenance
- <SYSTEM32>\tasks\microsoft\windows\windows defender\windows defender cleanup
- <SYSTEM32>\tasks\microsoft\windows\windows defender\windows defender scheduled scan
- <SYSTEM32>\tasks\microsoft\windows\windows defender\windows defender verification
Удаляет файлы, которые сам же создал
- %TEMP%\msedgeupdate.xml
- %APPDATA%\microsoft\windows\services\wlrmdr.exe
- %TEMP%\z56aln68.exe
- %TEMP%\mssecflt.sys
Перемещает следующие файлы
- %APPDATA%\microsoft\windows\services\wlrmdr.exe в %APPDATA%\microsoft\windows\services\wlrmdr.exe.slz
Изменяет следующие файлы
Подменяет следующие файлы
- %APPDATA%\microsoft\windows\services\wlrmdr.exe
Изменяет файл HOSTS.
Сетевая активность
Подключается к
- '19#.#51.107.186':80
- '19#.#78.158.107':80
- '19#.#62.199.179':80
- 'google.com':80
- 'bing.com':80
- '62.##.226.232':80
TCP
Запросы HTTP GET
- http://19#.#78.158.107/2.8.exe
- http://www.google.com/
- http://www.bing.com/
Запросы HTTP POST
- http://62.##.226.232/zpzp/get.php?ui######################################################
UDP
- DNS ASK google.com
- DNS ASK bing.com
- DNS ASK mo#####.map.fastly.net
Другое
Ищет следующие окна
- ClassName: 'MozillaWindowClass' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\2zco31mu.exe'
- '%TEMP%\mjoo5qx7.exe'
- '%TEMP%\hho2nir6.exe'
- '%TEMP%\vyrx7cdx.exe'
- '%TEMP%\czkl78vq.exe'
- '%TEMP%\8jdq39pj.exe'
- '%TEMP%\z56aln68.exe'
- '<Текущая директория>\socialphoneextractor.exe'
- '%ALLUSERSPROFILE%\3deda964.exe'
- '%TEMP%\jz8u.exe'
- '%TEMP%\jj06zhz4.exe'
- '%TEMP%\9nhj8tya.exe'
- '%TEMP%\lf8v.exe'
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /xml "%TEMP%\MsEdgeUpdate.xml" /tn "\Users\user\WindowsPushNotifSvc" /f
- '<SYSTEM32>\bcdedit.exe' /set {current} loadoptions DDISABLE_INTEGRITY_CHECKS
- '<SYSTEM32>\bcdedit.exe' /set {current} nointegritychecks on
- '<SYSTEM32>\bcdedit.exe' /set {current} testsigning on
- '<SYSTEM32>\bcdedit.exe' /set {current} disableelamdrivers yes
- '<SYSTEM32>\takeown.exe' /f "%ProgramFiles%\Windows Defender Advanced Threat Protection" /r /d y (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "%ProgramFiles%\Windows Defender Advanced Threat Protection" /grant administrators:F /t /c /q (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c rd /s /q "%ProgramFiles%\Windows Defender Advanced Threat Protection" (со скрытым окном)
- '<SYSTEM32>\takeown.exe' /f "%WINDIR%\ELAMBKUP" /r /d y (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "%WINDIR%\ELAMBKUP" /grant administrators:F /t /c /q (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c rd /s /q "%WINDIR%\ELAMBKUP" (со скрытым окном)
- '<SYSTEM32>\takeown.exe' /f "<DRIVERS>\wd" /r /d y (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "<DRIVERS>\wd" /grant administrators:F /t /c /q (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c rd /s /q "<DRIVERS>\wd" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Delete /TN "\Microsoft\Windows\Windows Defender\Windows Defender Cache Maintenance" /F
- '<SYSTEM32>\schtasks.exe' /Delete /TN "\Microsoft\Windows\Windows Defender\Windows Defender Cleanup" /F
- '<SYSTEM32>\schtasks.exe' /Delete /TN "\Microsoft\Windows\Windows Defender\Windows Defender Scheduled Scan" /F
- '<SYSTEM32>\schtasks.exe' /Delete /TN "\Microsoft\Windows\Windows Defender\Windows Defender Verification" /F
- '<SYSTEM32>\schtasks.exe' /Delete /TN "\Microsoft\Windows\Windows Defender\Windows Defender Unknown" /F
- '<SYSTEM32>\schtasks.exe' /Delete /TN "\Microsoft\Windows\Windows Defender\Windows Defender Update Configuration" /F
- '<SYSTEM32>\cmd.exe' /c schtasks.exe /Query /FO CSV /V > "%TEMP%\~DF4C2A1B.tmp" 2>&1
- '<SYSTEM32>\schtasks.exe' /Query /FO CSV /V
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --no-sandbox
- '<SYSTEM32>\cmd.exe' /c "netsh wlan export profile key=clear folder="%TEMP%\dia_wifi_tmp\" 2>nul" (со скрытым окном)
- '<SYSTEM32>\netsh.exe' wlan export profile key=clear folder="%TEMP%\dia_wifi_tmp\"
- '%TEMP%\jz8u.exe' (со скрытым окном)
- '%TEMP%\lf8v.exe' (со скрытым окном)
