Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %WINDIR%\tasks\socket_dispatcher_v2.job
- <SYSTEM32>\tasks\socket_dispatcher_v2
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- neuromanag.exe
- crisp.exe
- virtualar.exe
Патчит код
в динамической библиотеке
- Процесс wizardda42.exe, модуль tapisrv.dll
- Процесс wizardda42.exe, модуль Input.dll
- Процесс wizardda42.exe, модуль XmlLite.dll
- Процесс wizardda42.exe, модуль RPCRT4.dll
- Процесс alphvector.exe, модуль tapisrv.dll
- Процесс alphvector.exe, модуль Input.dll
- Процесс alphvector.exe, модуль XmlLite.dll
- Процесс alphvector.exe, модуль RPCRT4.dll
- Процесс crisp.exe, модуль XmlLite.dll
в динамической библиотеке NTDLL
- Процесс wizardda42.exe, модуль ntdll.dll
- Процесс virtualar.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\scenesync45.xml
- %TEMP%\shader128.map
- %TEMP%\msvcp140.dll
- %TEMP%\msvcp_win.dll
- %TEMP%\qt5core.dll
- %TEMP%\qt5gui.dll
- %TEMP%\qt5network.dll
- %TEMP%\qt5svg.dll
- %TEMP%\qt5widgets.dll
- %TEMP%\qt5winextras.dll
- %TEMP%\ucrtbase.dll
- %TEMP%\vcruntime140.dll
- %TEMP%\wizardda42.exe
- %ALLUSERSPROFILE%\extadvanced_arm64\msvcp140.dll
- %ALLUSERSPROFILE%\extadvanced_arm64\msvcp_win.dll
- %ALLUSERSPROFILE%\extadvanced_arm64\qt5core.dll
- %ALLUSERSPROFILE%\extadvanced_arm64\qt5gui.dll
- %ALLUSERSPROFILE%\extadvanced_arm64\qt5network.dll
- %ALLUSERSPROFILE%\extadvanced_arm64\qt5svg.dll
- %ALLUSERSPROFILE%\extadvanced_arm64\qt5widgets.dll
- %ALLUSERSPROFILE%\extadvanced_arm64\qt5winextras.dll
- %ALLUSERSPROFILE%\extadvanced_arm64\shader128.map
- %ALLUSERSPROFILE%\extadvanced_arm64\ucrtbase.dll
- %ALLUSERSPROFILE%\extadvanced_arm64\vcruntime140.dll
- %ALLUSERSPROFILE%\extadvanced_arm64\wizardda42.exe
- %ALLUSERSPROFILE%\extadvanced_arm64\scenesync45.xml
- %APPDATA%\extadvanced_arm64\crisp.exe
- %APPDATA%\extadvanced_arm64\ytphbxovhwvdegbegxsx\129.0.5823.65.manifest
- %APPDATA%\extadvanced_arm64\ytphbxovhwvdegbegxsx\alphvector.exe
- %APPDATA%\extadvanced_arm64\ytphbxovhwvdegbegxsx\audio.lib
- %APPDATA%\extadvanced_arm64\ytphbxovhwvdegbegxsx\msvcp_win.dll
- %APPDATA%\extadvanced_arm64\ytphbxovhwvdegbegxsx\opera_elf.dll
- %APPDATA%\extadvanced_arm64\ytphbxovhwvdegbegxsx\session.sym
- %APPDATA%\extadvanced_arm64\ytphbxovhwvdegbegxsx\ucrtbase.dll
- %APPDATA%\extadvanced_arm64\ytphbxovhwvdegbegxsx\webview2loader.dll
- %TEMP%\35dd9f5.tmp
- %TEMP%\571fce0.tmp
- %TEMP%\neuromanag.exe
- %APPDATA%\service\crisp.exe
- %TEMP%\76c1e13.tmp
- %TEMP%\6a110d6.tmp
- %TEMP%\80a2864.tmp
- %TEMP%\virtualar.exe
- %TEMP%\9ef4832.tmp
- %ALLUSERSPROFILE%\mayanex\kapuq
- %TEMP%\f5ca331.tmp
- %ALLUSERSPROFILE%\microsoft\crypto\rsa\s-1-5-18\d42cc0c3858a58db2db37658219e6400_8cf7b530-613e-439b-a8c5-ccfc0e745400
Удаляет файлы, которые сам же создал
- %TEMP%\35dd9f5.tmp
- %TEMP%\76c1e13.tmp
Подменяет следующие файлы
- %TEMP%\35dd9f5.tmp
- %TEMP%\76c1e13.tmp
Сетевая активность
Подключается к
- '95.##7.245.14':443
- '66.##3.113.238':3333
UDP
- DNS ASK te##gram.me
- DNS ASK ex##ple.com
- DNS ASK st####ommunity.com
Другое
Создает и запускает на исполнение
- '%TEMP%\wizardda42.exe'
- '%ALLUSERSPROFILE%\extadvanced_arm64\wizardda42.exe'
- '%APPDATA%\extadvanced_arm64\ytphbxovhwvdegbegxsx\alphvector.exe'
- '%TEMP%\neuromanag.exe'
- '%APPDATA%\extadvanced_arm64\crisp.exe'
- '%TEMP%\virtualar.exe'
- '%APPDATA%\service\crisp.exe'
