Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath \"<Полный путь к файлу>\""
Патчит код
в динамической библиотеке AMSI
- Процесс yidxuh.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс yidxuh.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- nul
Сетевая активность
UDP
- DNS ASK ap#.#pify.org
- DNS ASK ic###azip.com
- DNS ASK if##nfig.me
Другое
Запускает на исполнение
- '<SYSTEM32>\wbem\wmic.exe' path win32_videocontroller get name (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "(Invoke-WebRequest -Uri 'https://api.ipify.org' -UseBasicParsing).Content" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "(Invoke-WebRequest -Uri 'https://icanhazip.com' -UseBasicParsing).Content" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "(Invoke-WebRequest -Uri 'https://ifconfig.me/ip' -UseBasicParsing).Content" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' /namespace:\\root\securitycenter2 path antivirusproduct get displayname (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' product get name (со скрытым окном)
- '<SYSTEM32>\netsh.exe' wlan show profiles (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath \"<Полный путь к файлу>\"" (со скрытым окном)
