Техническая информация
Вредоносные функции
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\quickassist.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\bot_log.txt
- %APPDATA%\microsoft\windows\iqygowow4cks\nvdisplay.container.exe
- %TEMP%\uac_1772513517.dll
- %TEMP%\ebwebview\x64\embeddedbrowserwebview.dll
- %TEMP%\ebwebview\x64\rcx822c.tmp
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\xvnejzz7\dnserrordiagoff[1]
Удаляет файлы, которые сам же создал
- %TEMP%\ebwebview\x64\embeddedbrowserwebview.dll
- %TEMP%\uac_1772513517.dll
Перемещает следующие файлы
- %TEMP%\ebwebview\x64\rcx822c.tmp в %TEMP%\ebwebview\x64\embeddedbrowserwebview.dll
Сетевая активность
UDP
- DNS ASK remoteassistance.support.services.microsoft.com
- DNS ASK di##ord.com
- DNS ASK ga####y.discord.gg
- DNS ASK fi#####.###tings.services.mozilla.com
Другое
Ищет следующие окна
- ClassName: 'runtimebroker.exe' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\quickassist.exe' ms-quick-assist (со скрытым окном)
