Техническая информация
Вредоносные функции
Патчит код
в динамической библиотеке NTDLL
- Процесс desktoplayer.exe, модуль ntdll.dll
Перехватывает управление с помощью отладочных регистров
в динамической библиотеке
- Процесс zsobfxef.exe, модуль unknown
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'Regmonclass', WindowName: ''
- ClassName: 'Filemonclass', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- <PATH_SAMPLE>srv.exe
- %ProgramFiles(x86)%\microsoft\desktoplayer.exe
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6a407104-bac.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6a40710a-598.pma
- <Текущая директория>\captchaocr.dll
Присваивает атрибут 'скрытый' для следующих файлов
- <Текущая директория>\captchaocr.dll
Изменяет следующие файлы
- %LOCALAPPDATA%\microsoft\edge\user data\last version
- %LOCALAPPDATA%\microsoft\edge\user data\default\sync data\leveldb\log
- %LOCALAPPDATA%\microsoft\edge\user data\default\sync data\leveldb\000003.log
- %LOCALAPPDATA%\microsoft\edge\user data\default\site characteristics database\log
- %LOCALAPPDATA%\microsoft\tokenbroker\cache\9cd93bc6dcf544bae69531052e64647ec02f2bb4.tbres
Подменяет следующие файлы
- %LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Platform Notifications\LOG
- %LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Local Storage\leveldb\LOG
Сетевая активность
Подключается к
- 'co####.edge.skype.com':443
TCP
Другие
- 'co####.edge.skype.com':443
UDP
- DNS ASK co####.edge.skype.com
Другое
Ищет следующие окна
- ClassName: '4823-00000029' WindowName: ''
- ClassName: '18467-41' WindowName: ''
- ClassName: 'Chrome_MessageWindow' WindowName: '%LOCALAPPDATA%\Microsoft\Edge\User Data'
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '<PATH_SAMPLE>srv.exe'
- '%ProgramFiles(x86)%\microsoft\desktoplayer.exe'
Запускает на исполнение
- '%ProgramFiles%\internet explorer\iexplore.exe'
- '%ProgramFiles(x86)%\microsoft\edge\application\89.0.774.68\bho\ie_to_edge_stub.exe' --from-ie-to-edge=3 --ie-frame-hwnd=d01dc
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --from-ie-to-edge=3 --ie-frame-hwnd=d01dc
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --from-ie-to-edge=3 --ie-frame-hwnd=d01dc --flag-switches-begin --flag-switches-end --do-not-de-elevate (со скрытым окном)
