Техническая информация
Вредоносные функции
Патчит код
в динамической библиотеке AMSI
- Процесс regsvr32.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс regsvr32.exe, модуль ntdll.dll
Сетевая активность
Подключается к
- 'ip##fo.io':443
- 'st#####.googleapis.com':443
- 'br#####igitalmotors.com':443
- 'br#####igitalmotors.com':8443
- 'br#####igitalmotors.com':2087
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?88##############
Другие
- 'ip##fo.io':443
- 'st#####.googleapis.com':443
- 'br#####igitalmotors.com':8443
- 'br#####igitalmotors.com':2087
- 'br#####igitalmotors.com':443
UDP
- DNS ASK ip##fo.io
- DNS ASK la####arpottery.net
- DNS ASK st#####.googleapis.com
- DNS ASK br#####igitalmotors.com
Другое
Запускает на исполнение
- '<SYSTEM32>\reg.exe' delete HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v "NVIDIA Notification" /f
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "Get-WmiObject -Namespace 'root\subscription' -Class __EventFilter -Filter \"Name='NVIDIAFilter'\" -ErrorAction SilentlyContinue | Remove-WmiObject -ErrorAction SilentlyCont...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "Get-WmiObject -Namespace 'root\subscription' -Class CommandLineEventConsumer -Filter \"Name='NVIDIAConsumer'\" -ErrorAction SilentlyContinue | Remove-WmiObject -ErrorAction...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "Get-WmiObject -Namespace 'root\subscription' -Class __FilterToConsumerBinding -ErrorAction SilentlyContinue | Where-Object {$_.Filter -like '*NVIDIAFilter*'} | Remove-WmiOb...
- '<SYSTEM32>\schtasks.exe' /query /tn "NVIDIA Notification Service"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "$exePath = \"$env:LOCALAPPDATA\NVIDIA Corporation\NVIDIA Notification\$env:COMPUTERNAME\NVIDIANotification.exe\"; if (Test-Path $exePath) { $action = New-ScheduledTaskActio...
