Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\msedge_update
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%WINDIR%\Microsoft.NET\Framework64\v4.0.30319\WinRing0x64.sys'
Создает следующие сервисы
- 'WinRing0_1_2_0' %WINDIR%\Microsoft.NET\Framework64\v4.0.30319\WinRing0x64.sys
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "Add-MpPreference -ExclusionPath '%APPDATA%\msedge\msedge_update.exe'; Add-MpPreference -ExclusionProcess '%APPDATA%\msedge\msedge_update.exe'"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "Add-MpPreference -ExclusionPath '%WINDIR%\Microsoft.NET\Framework64\v4.0.30319\AddInProcess.exe'; Add-MpPreference -ExclusionProcess '%WINDIR%\Microsoft.NET\Framework64\v4....
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "Add-MpPreference -ExclusionPath '%WINDIR%\Microsoft.NET\Framework64\v4.0.30319\RegAsm.exe'; Add-MpPreference -ExclusionProcess '%WINDIR%\Microsoft.NET\Framework64\v4.0.3031...
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="9090" dir=in action=allow protocol=TCP localport=9090
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework64\v4.0.30319\addinprocess.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\regasm.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\windowspowershell\v1.0\powershell.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\content\2132-1536-<Имя файла>.exe-15-51-53-283.dump
- %TEMP%\content\2132-1536-<Имя файла>.exe-15-51-53-585.dump
- %APPDATA%\msedge\msedge_update.exe
- %TEMP%\msedge_update.xml
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
- %TEMP%\content\1548-4260-addinprocess.exe-15-52-24-884.dump
- %TEMP%\content\1548-4260-addinprocess.exe-15-52-25-150.dump
Удаляет файлы, которые сам же создал
- %TEMP%\msedge_update.xml
Сетевая активность
Подключается к
- '18#.#14.144.108':2053
- 'ap##ndir.io':443
- '18#.#14.144.108':58201
TCP
Другие
- '18#.#14.144.108':2053
- 'ap##ndir.io':443
- '18#.#14.144.108':58201
UDP
- DNS ASK ap##ndir.io
Другое
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /delete /tn "msedge_update" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "msedge_update" /xml "%TEMP%\msedge_update.xml" /f
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\addinprocess.exe' (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /query /tn "msedge_update"
- '<SYSTEM32>\netsh.exe' advfirewall firewall show rule name="9090"
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\regasm.exe' --algo rx/0 -o pool.hashvault.pro:443 -u 4BEBzUpSc329TQzXC9jrZEcnBE575yfpYZbvovvo2Z6dYbFoGxAGYRp1cFvMVknAuj7EjQGmEsczvWfGvDCXHv31RYuk6Eo.rig -p rig_cpu -k --cpu-max-threads-hint=50 --http-enab... (со скрытым окном)
