Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- pulvault.exe
- crisp.exe
Патчит код
в динамической библиотеке
- Процесс setup.exe, модуль EVR.dll
- Процесс setup.exe, модуль Input.dll
- Процесс setup.exe, модуль XmlLite.dll
- Процесс setup.exe, модуль RPCRT4.dll
в динамической библиотеке NTDLL
- Процесс pulvault.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx0\msvcp140.dll
- %TEMP%\rarsfx0\msvcr80.dll
- %TEMP%\rarsfx0\proxy64.dll
- %TEMP%\rarsfx0\scanpartition.dll
- %TEMP%\rarsfx0\setup.exe
- %TEMP%\rarsfx0\up.dll
- %TEMP%\rarsfx0\vcruntime140.dll
- %TEMP%\rarsfx0\vcruntime140_1.dll
- %TEMP%\rarsfx0\webview2loader.dll
- %TEMP%\rarsfx0\wimgapi.dll
- %TEMP%\rarsfx0\wimmgr.dll
- %TEMP%\rarsfx0\win11.ini
- %TEMP%\rarsfx0\amanacfg.ini
- %TEMP%\rarsfx0\audiohelper.dat
- %TEMP%\rarsfx0\cfg.ini
- %TEMP%\rarsfx0\encrypt.dll
- %TEMP%\rarsfx0\libcrypto-1_1.dll
- %TEMP%\rarsfx0\mfc140u.dll
- %ALLUSERSPROFILE%\com_app_api_arm64\amanacfg.ini
- %ALLUSERSPROFILE%\com_app_api_arm64\audiohelper.dat
- %ALLUSERSPROFILE%\com_app_api_arm64\cfg.ini
- %ALLUSERSPROFILE%\com_app_api_arm64\encrypt.dll
- %ALLUSERSPROFILE%\com_app_api_arm64\libcrypto-1_1.dll
- %ALLUSERSPROFILE%\com_app_api_arm64\mfc140u.dll
- %ALLUSERSPROFILE%\com_app_api_arm64\msvcp140.dll
- %ALLUSERSPROFILE%\com_app_api_arm64\msvcr80.dll
- %ALLUSERSPROFILE%\com_app_api_arm64\scanpartition.dll
- %ALLUSERSPROFILE%\com_app_api_arm64\up.dll
- %ALLUSERSPROFILE%\com_app_api_arm64\vcruntime140.dll
- %ALLUSERSPROFILE%\com_app_api_arm64\vcruntime140_1.dll
- %ALLUSERSPROFILE%\com_app_api_arm64\webview2loader.dll
- %ALLUSERSPROFILE%\com_app_api_arm64\wimgapi.dll
- %ALLUSERSPROFILE%\com_app_api_arm64\wimmgr.dll
- %ALLUSERSPROFILE%\com_app_api_arm64\win11.ini
- %ALLUSERSPROFILE%\com_app_api_arm64\proxy64.dll
- %APPDATA%\com_app_api_arm64\crisp.exe
- %TEMP%\60f72f.tmp
- %TEMP%\701170f.tmp
- %HOMEPATH%\pulvault.exe
- %TEMP%\8712f2c.tmp
- %TEMP%\259d56c.tmp
Удаляет файлы, которые сам же создал
- %TEMP%\60f72f.tmp
Подменяет следующие файлы
- %TEMP%\60f72f.tmp
Сетевая активность
Подключается к
- '19#.#64.34.182':443
Другое
Ищет следующие окна
- ClassName: 'Edit' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\rarsfx0\setup.exe'
- '%HOMEPATH%\pulvault.exe'
- '%APPDATA%\com_app_api_arm64\crisp.exe'
