Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\log_utility_amd64
- %WINDIR%\tasks\log_utility_amd64.job
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- kernelt.exe
- crisp.exe
Патчит код
в динамической библиотеке
- Процесс dock-advanced64.exe, модуль tapisrv.dll
- Процесс dock-advanced64.exe, модуль Input.dll
- Процесс dock-advanced64.exe, модуль XmlLite.dll
- Процесс dock-advanced64.exe, модуль RPCRT4.dll
- Процесс kernelt.exe, модуль KERNEL32.dll
в динамической библиотеке AMSI
- Процесс kernelt.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс kernelt.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\monitoralloc.lock
- %TEMP%\physicsparam47.tmp
- %TEMP%\dock-advanced64.exe
- %TEMP%\filesyncevents.dll
- %TEMP%\filesyncfs.dll
- %TEMP%\filesynchost.dll
- %TEMP%\loggingplatform.dll
- %TEMP%\msvcp140.dll
- %TEMP%\msvcp_win.dll
- %TEMP%\telemetry.dll
- %TEMP%\ucrtbase.dll
- %TEMP%\updateringsettings.dll
- %TEMP%\vcruntime140.dll
- %TEMP%\vcruntime140_1.dll
- %ALLUSERSPROFILE%\core_mgmt_scanner_x64\dock-advanced64.exe
- %ALLUSERSPROFILE%\core_mgmt_scanner_x64\filesyncevents.dll
- %ALLUSERSPROFILE%\core_mgmt_scanner_x64\filesyncfs.dll
- %ALLUSERSPROFILE%\core_mgmt_scanner_x64\filesynchost.dll
- %ALLUSERSPROFILE%\core_mgmt_scanner_x64\loggingplatform.dll
- %ALLUSERSPROFILE%\core_mgmt_scanner_x64\monitoralloc.lock
- %ALLUSERSPROFILE%\core_mgmt_scanner_x64\msvcp140.dll
- %ALLUSERSPROFILE%\core_mgmt_scanner_x64\msvcp_win.dll
- %ALLUSERSPROFILE%\core_mgmt_scanner_x64\telemetry.dll
- %ALLUSERSPROFILE%\core_mgmt_scanner_x64\ucrtbase.dll
- %ALLUSERSPROFILE%\core_mgmt_scanner_x64\updateringsettings.dll
- %ALLUSERSPROFILE%\core_mgmt_scanner_x64\vcruntime140.dll
- %ALLUSERSPROFILE%\core_mgmt_scanner_x64\vcruntime140_1.dll
- %ALLUSERSPROFILE%\core_mgmt_scanner_x64\physicsparam47.tmp
- %APPDATA%\core_mgmt_scanner_x64\crisp.exe
- %TEMP%\3b8dff0.tmp
- %TEMP%\47aeca3.tmp
- %TEMP%\kernelt.exe
- %TEMP%\584fe0a.tmp
- %ALLUSERSPROFILE%\microsoft\crypto\rsa\s-1-5-18\d42cc0c3858a58db2db37658219e6400_8cf7b530-613e-439b-a8c5-ccfc0e745400
Удаляет файлы, которые сам же создал
- %TEMP%\3b8dff0.tmp
Подменяет следующие файлы
- %TEMP%\3b8dff0.tmp
Сетевая активность
Подключается к
- 'll###gooo.com':35891
TCP
Другие
- 'll###gooo.com':35891
UDP
- DNS ASK ll###gooo.com
Другое
Создает и запускает на исполнение
- '%TEMP%\dock-advanced64.exe'
- '%ALLUSERSPROFILE%\core_mgmt_scanner_x64\dock-advanced64.exe'
- '%TEMP%\kernelt.exe'
- '%APPDATA%\core_mgmt_scanner_x64\crisp.exe'
