Техническая информация
Вредоносные функции
Патчит код
в динамической библиотеке AMSI
- Процесс xoer.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс xoer.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
- nul
Сетевая активность
Подключается к
- '17#.#68.136.38':8000
- '45.##.21.134':8000
- '45.##4.169.135':8000
- '21#.#32.69.52':8000
- '45.##4.168.55':8000
- '45.##4.169.172':8000
TCP
Другие
- '17#.#68.136.38':8000
- '45.##.21.134':8000
- '45.##4.169.135':8000
- '45.##4.168.55':8000
- '45.##4.169.172':8000
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C timeout /t 4 /nobreak >nul & Del "" (со скрытым окном)
- '<SYSTEM32>\timeout.exe' /t 4 /nobreak
