Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\bitce48.tmp
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- loginterface.exe
- chime.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx0\scannercircuit91.exe
- %TEMP%\rarsfx0\up.dll
- %TEMP%\rarsfx0\vcruntime140.dll
- %TEMP%\rarsfx0\veelrimcheek.tkke
- %TEMP%\rarsfx0\jaigsig.oc
- %TEMP%\rarsfx0\libcrypto-1_1.dll
- %TEMP%\rarsfx0\libssl-1_1.dll
- %TEMP%\rarsfx0\mfc140u.dll
- %TEMP%\rarsfx0\msvcp140.dll
- %ALLUSERSPROFILE%\lyn_valid\libcrypto-1_1.dll
- %ALLUSERSPROFILE%\lyn_valid\libssl-1_1.dll
- %ALLUSERSPROFILE%\lyn_valid\mfc140u.dll
- %ALLUSERSPROFILE%\lyn_valid\msvcp140.dll
- %ALLUSERSPROFILE%\lyn_valid\scannercircuit91.exe
- %ALLUSERSPROFILE%\lyn_valid\up.dll
- %ALLUSERSPROFILE%\lyn_valid\vcruntime140.dll
- %ALLUSERSPROFILE%\lyn_valid\veelrimcheek.tkke
- %ALLUSERSPROFILE%\lyn_valid\jaigsig.oc
- %APPDATA%\lyn_valid\chime.exe
- %TEMP%\21bf7af.tmp
- %TEMP%\2362ac.tmp
- %LOCALAPPDATA%\loginterface.exe
- %TEMP%\27a1e72.tmp
- %TEMP%\3e8b448.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\microsoft\windows\start menu\programs\startup\bitce48.tmp
Сетевая активность
Подключается к
- 'localhost':5985
Другое
Ищет следующие окна
- ClassName: 'Edit' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\rarsfx0\scannercircuit91.exe'
- '%ALLUSERSPROFILE%\lyn_valid\scannercircuit91.exe'
- '%LOCALAPPDATA%\loginterface.exe'
- '%APPDATA%\lyn_valid\chime.exe'
