Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\Webview Helper] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\Webview Helper] 'ImagePath' = 'C:\Users\Public\Videos\qdLDSHHc\4I1KZLMf.exe'
Создает следующие сервисы
- 'Webview Helper' C:\Users\Public\Videos\qdLDSHHc\4I1KZLMf.exe
Вредоносные функции
Патчит код
в динамической библиотеке
- Процесс 4i1kzlmf.exe, модуль jcef_helper.exe
в динамической библиотеке NTDLL
- Процесс app.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\fqfmao8ktzkueovr\readme.md
- %ALLUSERSPROFILE%\fqfmao8ktzkueovr\app.exe
- %ALLUSERSPROFILE%\fqfmao8ktzkueovr\app.exe._
- %ALLUSERSPROFILE%\fqfmao8ktzkueovr\web.dat
- %ALLUSERSPROFILE%\fqfmao8ktzkueovr\view.dat
- %ALLUSERSPROFILE%\fqfmao8ktzkueovr\view.conf
- C:\users\public\videos\pstyztof
- C:\users\public\videos\qdldshhc\readme.md
- C:\users\public\videos\qdldshhc\view.conf
- C:\users\public\videos\qdldshhc\409.exe
- C:\users\public\videos\qdldshhc\libcef.dll
Удаляет файлы, которые сам же создал
- C:\users\public\videos\pstyztof
- %ALLUSERSPROFILE%\fqfmao8ktzkueovr\app.exe._
- %ALLUSERSPROFILE%\fqfmao8ktzkueovr\view.dat
- %ALLUSERSPROFILE%\fqfmao8ktzkueovr\web.dat
- %ALLUSERSPROFILE%\fqfmao8ktzkueovr\readme.md
- %ALLUSERSPROFILE%\fqfmao8ktzkueovr\view.conf
Перемещает следующие файлы
- C:\users\public\videos\qdldshhc\409.exe в C:\users\public\videos\qdldshhc\4i1kzlmf.exe
- %ALLUSERSPROFILE%\fqfmao8ktzkueovr\app.exe в \:dsl
Сетевая активность
Подключается к
- '19#.#29.116.49':30003
Другое
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\fqfmao8ktzkueovr\app.exe'
- 'C:\users\public\videos\qdldshhc\4i1kzlmf.exe'
