Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\mesedge
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath 'C:\Users\Public'
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\snipae\mesedge.exe
- C:\users\public\snipae\cef_frame.dll
- C:\users\public\snipae\snipa.exe
- C:\users\public\snipae\uninst.exe
- %TEMP%\nsbcff8.tmp\nsexec.dll
- %TEMP%\tmpe228.tmp
- %TEMP%\tmpe258.tmp
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\snipa.exe.log
Удаляет файлы, которые сам же создал
- %TEMP%\nsbcff8.tmp\nsexec.dll
- %TEMP%\tmpe228.tmp
- %TEMP%\tmpe258.tmp
Сетевая активность
Подключается к
- 'storeedge.microsoft.com':443
- 'displaycatalog.mp.microsoft.com':443
- '80.##0.113.62':80
- 'store-images.s-microsoft.com':443
- 'microsoft.com':80
- 'ks#.##anqi-1.com':443
TCP
Запросы HTTP GET
- http://www.microsoft.com/pkiops/certs/Microsoft%20RSA%20Root%20Certificate%20Authority%202017.crt
Другие
- 'storeedge.microsoft.com':443
- 'displaycatalog.mp.microsoft.com':443
- 'store-images.microsoft.com':443
- 'ks#.##anqi-1.com':443
UDP
- DNS ASK storeedge.microsoft.com
- DNS ASK displaycatalog.mp.microsoft.com
- DNS ASK store-images.s-microsoft.com
- DNS ASK microsoft.com
- DNS ASK store-images.microsoft.com
- DNS ASK ks#.##anqi-1.com
Другое
Создает и запускает на исполнение
- 'C:\users\public\snipae\snipa.exe'
- 'C:\users\public\snipae\mesedge.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "mesedge" /tr "C:\Users\Public\snipae\mesedge.exe" /sc onlogon /rl highest /f /ru "BUILTIN\Administrators" (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath 'C:\Users\Public' (со скрытым окном)
