Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im Marathon.exe
Патчит код
в динамической библиотеке NTDLL
- Процесс hptrsaq.exe, модуль ntdll.dll
Перехватывает управление с помощью отладочных регистров
в динамической библиотеке
- Процесс hptrsaq.exe, модуль unknown
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: 'OllYDbg'
Изменения в файловой системе
Создает следующие файлы
- nul
Сетевая активность
Подключается к
- 'te#####.badboycheats.com':443
- 'x1.#.lencr.org':80
- 'r1#.#.lencr.org':80
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
- http://r1#.#.lencr.org/88.crl
Другие
- 'te#####.badboycheats.com':443
UDP
- DNS ASK te#####.badboycheats.com
- DNS ASK x1.#.lencr.org
- DNS ASK r1#.#.lencr.org
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im Marathon.exe >nul 2>&1
