Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %WINDIR%\tasks\handlercontrol_v3.job
- <SYSTEM32>\tasks\handlercontrol_v3
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- parallelcom.exe
- cluhandler.exe
- crisp.exe
Патчит код
в динамической библиотеке
- Процесс chiinf.exe, модуль tapisrv.dll
- Процесс chiinf.exe, модуль Input.dll
- Процесс chiinf.exe, модуль XmlLite.dll
- Процесс chiinf.exe, модуль RPCRT4.dll
- Процесс crisp.exe, модуль XmlLite.dll
в динамической библиотеке NTDLL
- Процесс parallelcom.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\147.0.3912.60.manifest
- %TEMP%\audioopt.idx
- %TEMP%\channel-eng.bin
- %TEMP%\identity_helper.exe.manifest
- %TEMP%\notification_helper.exe.manifest
- %TEMP%\passkey_authenticator_plugin.exe.manifest
- %TEMP%\chiinf.exe
- %TEMP%\msedge_elf.dll
- %TEMP%\ucrtbase.dll
- %ALLUSERSPROFILE%\core_tracer_fm_lts\147.0.3912.60.manifest
- %ALLUSERSPROFILE%\core_tracer_fm_lts\audioopt.idx
- %ALLUSERSPROFILE%\core_tracer_fm_lts\chiinf.exe
- %ALLUSERSPROFILE%\core_tracer_fm_lts\identity_helper.exe.manifest
- %ALLUSERSPROFILE%\core_tracer_fm_lts\msedge_elf.dll
- %ALLUSERSPROFILE%\core_tracer_fm_lts\notification_helper.exe.manifest
- %ALLUSERSPROFILE%\core_tracer_fm_lts\passkey_authenticator_plugin.exe.manifest
- %ALLUSERSPROFILE%\core_tracer_fm_lts\ucrtbase.dll
- %ALLUSERSPROFILE%\core_tracer_fm_lts\channel-eng.bin
- %APPDATA%\core_tracer_fm_lts\crisp.exe
- %APPDATA%\core_tracer_fm_lts\bbgfexfkrknzvfshs\147.0.3912.60.manifest
- %APPDATA%\core_tracer_fm_lts\bbgfexfkrknzvfshs\audioopt.idx
- %APPDATA%\core_tracer_fm_lts\bbgfexfkrknzvfshs\channel-eng.bin
- %APPDATA%\core_tracer_fm_lts\bbgfexfkrknzvfshs\chiinf.exe
- %APPDATA%\core_tracer_fm_lts\bbgfexfkrknzvfshs\identity_helper.exe.manifest
- %APPDATA%\core_tracer_fm_lts\bbgfexfkrknzvfshs\msedge_elf.dll
- %APPDATA%\core_tracer_fm_lts\bbgfexfkrknzvfshs\notification_helper.exe.manifest
- %APPDATA%\core_tracer_fm_lts\bbgfexfkrknzvfshs\passkey_authenticator_plugin.exe.manifest
- %APPDATA%\core_tracer_fm_lts\bbgfexfkrknzvfshs\ucrtbase.dll
- %APPDATA%\msftwatch\crisp.exe
- %TEMP%\571f060.tmp
- %TEMP%\64afec9.tmp
- %TEMP%\539ecb7.tmp
- %TEMP%\76a1186.tmp
- %TEMP%\parallelcom.exe
- %TEMP%\7a5155f.tmp
- %ALLUSERSPROFILE%\cluhandler.exe
- %TEMP%\8cc28b8.tmp
- %ALLUSERSPROFILE%\jovise\lonupuvi
- %TEMP%\c98686f.tmp
- %ALLUSERSPROFILE%\microsoft\crypto\rsa\s-1-5-18\d42cc0c3858a58db2db37658219e6400_8cf7b530-613e-439b-a8c5-ccfc0e745400
Удаляет файлы, которые сам же создал
- %TEMP%\571f060.tmp
- %TEMP%\539ecb7.tmp
Подменяет следующие файлы
- %TEMP%\571f060.tmp
- %TEMP%\539ecb7.tmp
Сетевая активность
Подключается к
- '19#.#4.123.38':3333
- '77.#2.88.66':443
UDP
- DNS ASK ex##ple.com
- DNS ASK te##gram.me
- DNS ASK st####ommunity.com
Другое
Создает и запускает на исполнение
- '%TEMP%\chiinf.exe'
- '%ALLUSERSPROFILE%\core_tracer_fm_lts\chiinf.exe'
- '%APPDATA%\core_tracer_fm_lts\bbgfexfkrknzvfshs\chiinf.exe'
- '%TEMP%\parallelcom.exe'
- '%ALLUSERSPROFILE%\cluhandler.exe'
- '%APPDATA%\msftwatch\crisp.exe'
- '%APPDATA%\core_tracer_fm_lts\crisp.exe'
