Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '{0D941227-B085-0AB2-9FC2-C6B0665A478C}' = '<Полный путь к файлу>'
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Egpction' = '%LOCALAPPDATA%\Egpction\<Имя файла>.exe'
Вредоносные функции
Патчит код
в динамической библиотеке NTDLL
- Процесс glaqlga.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsq56d7.tmp
- %APPDATA%\cns1-v
- %APPDATA%\cet
- %APPDATA%\10-sub-pixel-bgr.conf
- %APPDATA%\bmy sepia 3.ado
- %APPDATA%\vanguardwetland
- %APPDATA%\skyboxvertexshader.hlsl
- %APPDATA%\singlepassblinn.program
- %APPDATA%\chunk.first.sections.xml
- %APPDATA%\static_loading.png
- %APPDATA%\gre.hyp
- %APPDATA%\estimation.dll
- %APPDATA%\system.dll
- %LOCALAPPDATA%\egpction\<Имя файла>.exe
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-69a359f9-c10.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-69a359ff-adc.pma
Изменяет следующие файлы
- %LOCALAPPDATA%\microsoft\edge\user data\last version
- %LOCALAPPDATA%\microsoft\edge\user data\default\sync data\leveldb\log
- %LOCALAPPDATA%\microsoft\edge\user data\default\sync data\leveldb\000003.log
- %LOCALAPPDATA%\microsoft\edge\user data\default\site characteristics database\log
Подменяет следующие файлы
- %LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Platform Notifications\LOG
- %LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Local Storage\leveldb\LOG
Сетевая активность
Подключается к
- '12#.#4.90.158':80
- 'co####.edge.skype.com':443
TCP
Другие
- 'co####.edge.skype.com':443
UDP
- DNS ASK se###ce8.org
- DNS ASK 1.####counter.info
- DNS ASK 2.####counter.info
- DNS ASK 3.####counter.info
- DNS ASK 4.####counter.info
- DNS ASK 5.####counter.info
- DNS ASK ms##r2.com
- DNS ASK co####.edge.skype.com
Другое
Ищет следующие окна
- ClassName: '{57D3B0D3-5889-4AE9-A996-DAAC08DE58E3}' WindowName: ''
- ClassName: 'Chrome_MessageWindow' WindowName: '%LOCALAPPDATA%\Microsoft\Edge\User Data'
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Перезапускает анализируемый образец
Запускает на исполнение
- '%ProgramFiles(x86)%\internet explorer\ielowutil.exe' -CLSID:{0002DF01-0000-0000-C000-000000000046} -Embedding
- '%ProgramFiles%\internet explorer\iexplore.exe' -Embedding
- '%ProgramFiles(x86)%\microsoft\edge\application\89.0.774.68\bho\ie_to_edge_stub.exe' --from-ie-to-edge=3 --ie-frame-hwnd=5011c
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --from-ie-to-edge=3 --ie-frame-hwnd=5011c
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --from-ie-to-edge=3 --ie-frame-hwnd=5011c --flag-switches-begin --flag-switches-end --do-not-de-elevate (со скрытым окном)
