Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Classes\adamxtu\shell\open\command] '' = '"<Полный путь к файлу>" "%1"'
Вредоносные функции
Патчит код
в динамической библиотеке NTDLL
- Процесс epedmg.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\velopack.log
- %LOCALAPPDATA%\microsoft\credentials\1221f567d9299ba6fd0b518dc8347841
Сетевая активность
Подключается к
- 'x1.#.lencr.org':80
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Другие
- 'ap#.#damx.gg':443
UDP
- DNS ASK ap#.#damx.gg
- DNS ASK x1.#.lencr.org
Другое
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command "Get-Volume | Where-Object { $_.DriveType -eq 'Removable' } | ForEach-Object { Get-Partition -DriveLetter $_.DriveLetter | Get-Disk | Select-Object -... (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Query /TN AdamxTweakingUtilityNotifications
