Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
- %WINDIR%\explorer.exe
- <SYSTEM32>\securityhealthsystray.exe
- <SYSTEM32>\oobe\useroobebroker.exe
- <SYSTEM32>\slui.exe
следующие пользовательские процессы:
- iexplore.exe
- firefox.exe
Перехватывает функции
в браузерах
- Процесс iexplore.exe, модуль advapi32.dll
- Процесс firefox.exe, модуль advapi32.dll
Патчит код
в динамической библиотеке AMSI
- Процесс xufgyos.exe, модуль Amsi.dll
Сетевая активность
Подключается к
- '45.##4.98.20':8443
TCP
Другие
- '45.##4.98.20':8443
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c wmic /namespace:\\root\SecurityCenter2 path AntiVirusProduct get displayName /format:list
- '<SYSTEM32>\wbem\wmic.exe' /namespace:\\root\SecurityCenter2 path AntiVirusProduct get displayName /format:list
