Техническая информация
Вредоносные функции
Патчит код
в динамической библиотеке
- Процесс wwjl.exe, модуль KERNEL32.dll
в динамической библиотеке NTDLL
- Процесс wwjl.exe, модуль ntdll.dll
- Процесс runtimebrooker.exe, модуль ntdll.dll
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\runtimebrooker.exe
- %TEMP%\1428jocb.bat
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\1428jocb.bat
Сетевая активность
UDP
- DNS ASK ap#.#proyal.com
- DNS ASK fi#####.###tings.services.mozilla.com
Другое
Создает и запускает на исполнение
- '%TEMP%\runtimebrooker.exe' -email=smithhoward232@gmail.com -password=Kamus@1993 -device-name=Machine -accept-tos
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\1428JOCB.bat" "<Полный путь к файлу>" " (со скрытым окном)
- '%WINDIR%\syswow64\chcp.com' 1252
- '%WINDIR%\syswow64\tasklist.exe'
- '%WINDIR%\syswow64\findstr.exe' /I "RuntimeBrooker.exe"
- '%WINDIR%\syswow64\timeout.exe' /T 10
