Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\Micorsoft Windows Service] 'ImagePath' = '%TEMP%\balqloet.sys'
Создает следующие сервисы
- 'Micorsoft Windows Service' %TEMP%\balqloet.sys
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ltientkniopgvsqv.exe
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-68af683a-c88.pma
- %TEMP%\balqloet.sys
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-68af684d-f7c.pma
Изменяет следующие файлы
- %LOCALAPPDATA%\microsoft\edge\user data\last version
- %LOCALAPPDATA%\microsoft\edge\user data\default\sync data\leveldb\log
- %LOCALAPPDATA%\microsoft\edge\user data\default\sync data\leveldb\000003.log
- %LOCALAPPDATA%\microsoft\edge\user data\default\site characteristics database\log
- %LOCALAPPDATA%\microsoft\tokenbroker\cache\9cd93bc6dcf544bae69531052e64647ec02f2bb4.tbres
Подменяет следующие файлы
- %LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Platform Notifications\LOG
- %LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Local Storage\leveldb\LOG
Сетевая активность
Подключается к
- 'co####.edge.skype.com':443
TCP
Другие
- 'co####.edge.skype.com':443
UDP
- DNS ASK co####.edge.skype.com
Другое
Ищет следующие окна
- ClassName: 'Chrome_MessageWindow' WindowName: '%LOCALAPPDATA%\Microsoft\Edge\User Data'
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\ltientkniopgvsqv.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\svchost.exe'
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe'
- '%ProgramFiles%\internet explorer\iexplore.exe'
- '%ProgramFiles(x86)%\microsoft\edge\application\89.0.774.68\bho\ie_to_edge_stub.exe' --from-ie-to-edge=3 --ie-frame-hwnd=a01fc
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --from-ie-to-edge=3 --ie-frame-hwnd=a01fc
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --from-ie-to-edge=3 --ie-frame-hwnd=a01fc --flag-switches-begin --flag-switches-end --do-not-de-elevate (со скрытым окном)
