Техническая информация
Для обеспечения автозапуска и распространения
Заражает следующие исполняемые файлы
- %ProgramFiles%\windowsapps\microsoft.xboxgamingoverlay_2.26.14003.0_x64__8wekyb3d8bbwe\gamebar.exe
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\dwm.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\explorer.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
Изменения в файловой системе
Подменяет следующие файлы
- %ProgramFiles%\UNP\Logs\UpdateNotificationPipeline.001.etl
Сетевая активность
UDP
- DNS ASK go.microsoft.com
- DNS ASK share.microsoft.com
- DNS ASK settings-win.data.microsoft.com
Другое
Ищет следующие окна
- ClassName: 'Progman' WindowName: ''
- ClassName: 'Proxy Desktop' WindowName: ''
- ClassName: 'ApplicationFrameWindow' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\devicecensus.exe' UserCxt
- '%WINDIR%\explorer.exe'
- '%WINDIR%\systemapps\microsoft.windows.startmenuexperiencehost_cw5n1h2txyewy\startmenuexperiencehost.exe' -ServerName:App.AppXywbrabmsek0gm3tkwpr5kwzbs55tkqay.mca
- '%ProgramFiles%\windowsapps\microsoft.xboxgamingoverlay_2.26.14003.0_x64__8wekyb3d8bbwe\gamebar.exe' -ServerName:App.AppXbdkk0yrkwpcgeaem8zk81k8py1eaahny.mca
