Техническая информация
Вредоносные функции
Патчит код
в динамической библиотеке AMSI
- Процесс sqjezgz.exe, модуль Amsi.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\guardian_src_e4cf010af0c547168dca9d7a16861377.cs
- %TEMP%\csc4bc5f7988a6147a59a91aa258a5479e.tmp
- %TEMP%\res270c.tmp
- %TEMP%\<Имя файла>.exe
- %LOCALAPPDATA%\mcn\axcuidbypassdll.dll
Удаляет файлы, которые сам же создал
- %TEMP%\res270c.tmp
- %TEMP%\csc4bc5f7988a6147a59a91aa258a5479e.tmp
- %TEMP%\guardian_src_e4cf010af0c547168dca9d7a16861377.cs
Сетевая активность
Подключается к
- 'ra#.####ubusercontent.com':443
- 'x1.#.lencr.org':80
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Другие
- 'ra#.####ubusercontent.com':443
UDP
- DNS ASK ke##uth.win
- DNS ASK ra#.####ubusercontent.com
- DNS ASK x1.#.lencr.org
Другое
Создает и запускает на исполнение
- '%TEMP%\<Имя файла>.exe' 3884
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /target:exe /out:"%TEMP%\<Имя файла>.exe" "%TEMP%\guardian_src_e4cf010af0c547168dca9d7a16861377.cs"
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES270C.tmp" "%TEMP%\CSC4BC5F7988A6147A59A91AA258A5479E.TMP" (со скрытым окном)
