Техническая информация
Вредоносные функции
Патчит код
в динамической библиотеке
- Процесс simpksp.exe, модуль KERNEL32.dll
- Процесс simpksp.exe, модуль ADVAPI32.dll
- Процесс simpksp.exe, модуль RPCRT4.dll
- Процесс zillberreleyhost.exe, модуль RPCRT4.dll
- Процесс zillberreleyhost.exe, модуль ADVAPI32.dll
- Процесс zillberreleyhost.exe, модуль KERNEL32.dll
в динамической библиотеке NTDLL
- Процесс simpksp.exe, модуль ntdll.dll
- Процесс zillberreleyhost.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\e0b97c0a1c2abe52.txt
- %TEMP%\kernel32_dll_3092_1791841819488027400.dll
- %TEMP%\sdc_3092_1791841833018701300.tmp
- %TEMP%\advapi32_dll_3092_1791841819488027400.dll
- %TEMP%\sdc_3092_1791841834016863700.tmp
- %TEMP%\rpcrt4_dll_3092_1791841819488027400.dll
- %TEMP%\sdc_3092_1791841834480816400.tmp
- %TEMP%\ntdll_dll_3092_1791841819509688900.dll
- %TEMP%\sdc_3092_1791841835068482900.tmp
- %ALLUSERSPROFILE%\windowsapps\2ccde766bab5d302\zillberreleyhost.exe
- %TEMP%\rpcrt4_dll_5136_1791841845106174300.dll
- %TEMP%\sdc_5136_1791841850704804300.tmp
- %TEMP%\advapi32_dll_5136_1791841845106174300.dll
- %TEMP%\sdc_5136_1791841851146577700.tmp
- %TEMP%\ntdll_dll_5136_1791841845063491700.dll
- %TEMP%\sdc_5136_1791841851688677100.tmp
- %TEMP%\kernel32_dll_5136_1791841845063491700.dll
- %TEMP%\sdc_5136_1791841854771195700.tmp
- %ALLUSERSPROFILE%\294d2bf500008bd9\1
- %ALLUSERSPROFILE%\294d2bf500008bd9\group.tmp
- %ALLUSERSPROFILE%\294d2bf500008bd9\remark.tmp
- %ALLUSERSPROFILE%\294d2bf500008bd9\install_time.tmp
- %ALLUSERSPROFILE%\294d2bf500008bd9\modules\x64\index.dat.tmp
- %ALLUSERSPROFILE%\294d2bf500008bd9\anetwork.tmp
- %ALLUSERSPROFILE%\294d2bf500008bd9\aclipboard.tmp
Удаляет файлы, которые сам же создал
- %TEMP%\kernel32_dll_3092_1791841819488027400.dll
- %TEMP%\advapi32_dll_3092_1791841819488027400.dll
- %TEMP%\rpcrt4_dll_3092_1791841819488027400.dll
- %TEMP%\ntdll_dll_3092_1791841819509688900.dll
- %TEMP%\rpcrt4_dll_5136_1791841845106174300.dll
- %TEMP%\advapi32_dll_5136_1791841845106174300.dll
- %TEMP%\ntdll_dll_5136_1791841845063491700.dll
- %TEMP%\kernel32_dll_5136_1791841845063491700.dll
Перемещает следующие файлы
- %TEMP%\sdc_3092_1791841833018701300.tmp в %TEMP%\sttfff\223be715e747f58d\sdc
- %TEMP%\sdc_3092_1791841834016863700.tmp в %TEMP%\sttfff\223be715e747f58d\sdc
- %TEMP%\sdc_3092_1791841834480816400.tmp в %TEMP%\sttfff\223be715e747f58d\sdc
- %TEMP%\sdc_3092_1791841835068482900.tmp в %TEMP%\sttfff\223be715e747f58d\sdc
- %TEMP%\sdc_5136_1791841850704804300.tmp в %TEMP%\sttfff\0f73fd7df22f9fa9\sdc
- %TEMP%\sdc_5136_1791841851146577700.tmp в %TEMP%\sttfff\0f73fd7df22f9fa9\sdc
- %TEMP%\sdc_5136_1791841851688677100.tmp в %TEMP%\sttfff\0f73fd7df22f9fa9\sdc
- %TEMP%\sdc_5136_1791841854771195700.tmp в %TEMP%\sttfff\0f73fd7df22f9fa9\sdc
- %ALLUSERSPROFILE%\294d2bf500008bd9\group.tmp в %ALLUSERSPROFILE%\294d2bf500008bd9\group
- %ALLUSERSPROFILE%\294d2bf500008bd9\remark.tmp в %ALLUSERSPROFILE%\294d2bf500008bd9\remark
- %ALLUSERSPROFILE%\294d2bf500008bd9\install_time.tmp в %ALLUSERSPROFILE%\294d2bf500008bd9\install_time
- %ALLUSERSPROFILE%\294d2bf500008bd9\modules\x64\index.dat.tmp в %ALLUSERSPROFILE%\294d2bf500008bd9\modules\x64\index.dat
- %ALLUSERSPROFILE%\294d2bf500008bd9\anetwork.tmp в %ALLUSERSPROFILE%\294d2bf500008bd9\anetwork
- %ALLUSERSPROFILE%\294d2bf500008bd9\aclipboard.tmp в %ALLUSERSPROFILE%\294d2bf500008bd9\aclipboard
Сетевая активность
Подключается к
- 'msdl.microsoft.com':443
- '14#.#5.118.172':80
- 'oneocsp.microsoft.com':80
- 'vs###########ssu5shard90.blob.core.windows.net':443
- 'vs###########ssu5shard37.blob.core.windows.net':443
- '27.#24.3.56':443
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?03##############
- http://oneocsp.microsoft.com/ocsp/MFQwUjBQME4wTDAJBgUrDgMCGgUABBR0TBEVYklX7A9yLoLD9hqmCWDxFgQU3pGGSLehMVkx8UtfB6nciHnaqHYCEzMAAAAMSWShb0QgOyIAAAAAAAw%3D
- http://oneocsp.microsoft.com/ocsp/MFQwUjBQME4wTDAJBgUrDgMCGgUABBQ0cRqryDGkRvVXcTaHxxbAiqOB6AQUuC8zpnxRT38fLdXIFUI4pLIOjy8CE0EA2JNXlMY4qVxVBPsAAADYk1c%3D
Другие
- 'msdl.microsoft.com':443
- 'vs###########ssu5shard37.blob.core.windows.net':443
- '27.#24.3.56':443
UDP
- DNS ASK msdl.microsoft.com
- DNS ASK oneocsp.microsoft.com
- DNS ASK vs###########ssu5shard37.blob.core.windows.net
- DNS ASK vs###########ssu5shard59.blob.core.windows.net
- DNS ASK vs###########ssu5shard84.blob.core.windows.net
- DNS ASK vs###########ssu5shard90.blob.core.windows.net
Другое
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\windowsapps\2ccde766bab5d302\zillberreleyhost.exe' /c
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c start "" "%TEMP%\e0b97c0a1c2abe52.txt" (со скрытым окном)
- '<SYSTEM32>\notepad.exe' %TEMP%\e0b97c0a1c2abe52.txt
