Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Патчит код
в динамической библиотеке NTDLL
- Процесс regsvr32.exe, модуль ntdll.dll
Перехватывает управление с помощью отладочных регистров
в динамической библиотеке AMSI
- Процесс regsvr32.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс regsvr32.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\microsoft\edgeupdate\microsoftedgeupdate.exe
- %APPDATA%\microsoft\edgeupdate\<Имя файла>.dll
- %TEMP%\content\3272-5500-explorer.exe-16-58-31-457.dump
- %TEMP%\content\3272-5500-explorer.exe-16-58-32-319.dump
- %TEMP%\content\3272-5500-explorer.exe-16-58-32-441.dump
Сетевая активность
Подключается к
- '<DNS_SERVER>':53
- 'gi##ub.com':443
- 'oc##.#ectigo.com':80
- 'ra#.####ubusercontent.com':443
- 'x1.#.lencr.org':80
- 'yr.#.lencr.org':80
- 'yr#.#.lencr.org':80
- '15#.#42.170.223':56001
- '15#.#42.170.223':56002
- '15#.#42.170.223':56003
TCP
Запросы HTTP GET
- http://oc##.#ectigo.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBS3DhJWomGbOJFU%2Fpy58BaOB6aMCwQUF5moBMFv5C1wqAoQPQPT6Rq4JmMCEHIBDgP0oGf%2BTnliZkMHGPY%3D
- http://yr.#.lencr.org/
- http://yr#.#.lencr.org/30.crl
Другие
- 'gi##ub.com':443
- 'ra#.####ubusercontent.com':443
UDP
- DNS ASK gi##ub.com
- DNS ASK oc##.#ectigo.com
- DNS ASK ra#.####ubusercontent.com
- DNS ASK x1.#.lencr.org
- DNS ASK yr.#.lencr.org
- DNS ASK yr#.#.lencr.org
