Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdateSvc' = '%APPDATA%\audiodgqmx.exe'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Syshost' = '"%APPDATA%\syshost.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\windows security checks
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\sihost.exe
- %WINDIR%\explorer.exe
- <SYSTEM32>\runtimebroker.exe
- <SYSTEM32>\notepad.exe
Перехватывает управление с помощью отладочных регистров
в динамической библиотеке AMSI
- Процесс djwl.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс djwl.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\75490fbe-c3eb-4547-9462-7e76f1b5c477\pacfs.exe
- %TEMP%\owvtehmf.exe
- %TEMP%\geagbzov.exe
- %APPDATA%\audiodgqmx.exe
- %TEMP%\9e7mdibf.exe
- %APPDATA%\syshost.exe
- %TEMP%\8ttjldjh.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\75490fbe-c3eb-4547-9462-7e76f1b5c477\pacfs.exe
- %APPDATA%\audiodgqmx.exe
- %APPDATA%\syshost.exe
Сетевая активность
Подключается к
- 'google.com':80
- 'google.com':443
- '19#.#32.210.172':80
- 'bing.com':80
- 'bing.com':443
- 'oneocsp.microsoft.com':80
- '19#.#78.158.57':80
- 'ci###65.click':6738
- '10#.#38.86.106':80
TCP
Запросы HTTP GET
- http://www.google.com/
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?02##############
- http://www.bing.com/
- http://oneocsp.microsoft.com/ocsp/MFQwUjBQME4wTDAJBgUrDgMCGgUABBQ3L3%2F%2Fa6ADK8NraY2GXzVaYrHG4AQUb6t%2B2v%2BXQ3LsO2d33oJhNYhHQoUCEzMAAAAFUWohyJgUzPcAAAAAAAU%3D
Запросы HTTP POST
- http://18##336234//
Другие
- 'google.com':443
- 'bing.com':443
UDP
- DNS ASK google.com
- DNS ASK bing.com
- DNS ASK oneocsp.microsoft.com
- DNS ASK ci###65.click
Другое
Создает и запускает на исполнение
- '%TEMP%\owvtehmf.exe'
- '%TEMP%\geagbzov.exe'
- '%TEMP%\9e7mdibf.exe'
- '%APPDATA%\syshost.exe'
- '%TEMP%\8ttjldjh.exe'
Запускает на исполнение
- '<SYSTEM32>\notepad.exe' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /c start /b "" "%TEMP%\owvtehmf.exe" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /c start /b "" "%TEMP%\geagbzov.exe" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /c start /b "" "%TEMP%\9e7mdibf.exe" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /c start /b "" "%TEMP%\8ttjldjh.exe" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /c start /b "" "%TEMP%\d1eryfyv.exe" (со скрытым окном)
- '%APPDATA%\syshost.exe' (со скрытым окном)
