Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '%WINDIR%\syswow64\certutil.exe' -decode C:\Users\Public\210.txt C:\Users\Public\210.dll
- '%WINDIR%\syswow64\rundll32.exe' C:\Users\Public\210.dll,D
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\csrss.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\3a45.tmp
- C:\users\public\210.txt
- C:\users\public\210.xls
- C:\users\public\210.dll
Подменяет следующие файлы
- %ProgramFiles%\UNP\Logs\UpdateNotificationPipeline.001.etl
Другое
Ищет следующие окна
- ClassName: 'OleMainThreadWndClass' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\certutil.exe' -decode C:\Users\Public\210.txt C:\Users\Public\210.dll' (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' C:\Users\Public\210.dll,D' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\apphostregistrationverifier.exe'
- '<SYSTEM32>\devicecensus.exe' UserCxt
- '<SYSTEM32>\svchost.exe' -k netsvcs -p
