Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\n1296\s1296.exe' ins.exe /e 12643845 /h edacfd.api.socdn.com /u 5295b03c-fdf0-4f48-9320-5a8a0a000013 /v "<Полный путь к вирусу>"
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>Low\Microsoft\CryptnetUrlCache\MetaData\CD9C747F40EEA288D73938D33144F716
- <LS_APPDATA>Low\Microsoft\CryptnetUrlCache\Content\8EDCF682921FE94F4A02A43CD1A28E6B
- <LS_APPDATA>Low\Microsoft\CryptnetUrlCache\Content\CD9C747F40EEA288D73938D33144F716
- %WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab8165.tmp
- %WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab8134.tmp
- %TEMP%\n1296\s1296.exe
- %TEMP%\n1296\s1296.exe.zip
- %WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab75F.tmp
- <LS_APPDATA>Low\Microsoft\CryptnetUrlCache\MetaData\8EDCF682921FE94F4A02A43CD1A28E6B
- %WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab790.tmp
Удаляет следующие файлы:
- %WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab8134.tmp
- %WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab8165.tmp
- %WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab790.tmp
- %TEMP%\n1296\s1296.exe.zip
- %WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab75F.tmp
Сетевая активность:
Подключается к:
- 'th.##mcb.com':80
- 'ed####.api.socdn.com':80
- '20#.#6.232.182':80
- 'th.##mcd.com':80
- 'ct###.#indowsupdate.com':80
- 'oc##.thawte.com':80
- 'cr#.#hawte.com':80
TCP:
Запросы HTTP GET:
- 20#.#6.232.182/pki/mscorp/crl/mswww(6).crl
- ed####.api.socdn.com/installer/5295b03c-fdf0-4f48-9320-5a8a0a000013/12643845/config
- ct###.#indowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?32##############
- 20#.#6.232.182/pki/crl/products/CodeSignPCA.crl
- 20#.#6.232.182/pki/crl/products/WinPCA.crl
- oc##.thawte.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBQwF4prw9S7mCbCEHD%2Fyl6nWPkczAQUe1tFz6%2FOy3r9MZIaarbzRutXSFACEEeXTXhzpbyrDS%2BzcBkvzl4%3D
- ct###.#indowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?36##############
- cr#.#hawte.com/ThawtePCA.crl
- th.##mcb.com/th.crl
- th.##mcd.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBRsif7263KedmR2MLuYKv9%2BWQCtWAQU1A1lP3q9NMb%2BR%2BdMDcC98t4Vq3ECEHZYrMFbM9k6vVqWcYHe%2BQE%3D
Запросы HTTP POST:
- ed####.api.socdn.com/installer/5295b03c-fdf0-4f48-9320-5a8a0a000013/12643845/event
UDP:
- DNS ASK ed####.api.socdn.com
- DNS ASK th.##mcb.com
- DNS ASK crl.microsoft.com
- DNS ASK ms###.microsoft.com
- DNS ASK oc##.thawte.com
- DNS ASK ct###.#indowsupdate.com
- DNS ASK th.##mcd.com
- DNS ASK cr#.#hawte.com
