Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'MicrosoftEdgeUpdate' = 'C:\scoop\mIB3\1E9n\zWMKb\log_C83A\svcupdate.exe'
Вредоносные функции
Патчит код
в динамической библиотеке NTDLL
- Процесс svcupdate.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- C:\scoop\mib3\1e9n\zwmkb\log_c83a\svcupdate.exe
- C:\scoop\mib3\1e9n\zwmkb\log_c83a\aliyunwrap.dll
- C:\scoop\mib3\1e9n\zwmkb\log_c83a\aliyunwrap_original.dll
- C:\scoop\mib3\1e9n\zwmkb\log_c83a\edgestore.dll
- C:\scoop\mib3\1e9n\zwmkb\log_c83a\res_bg.bmp
- C:\scoop\mib3\1e9n\zwmkb\log_c83a\res_icon.bmp
- C:\scoop\mib3\1e9n\zwmkb\log_c83a\webview2loader.dll
- C:\scoop\mib3\1e9n\zwmkb\log_c83a\edgedat_svclnr.cfg
- %APPDATA%\microsoft\edgeupdate\edgestore.dll
- %APPDATA%\microsoft\edgeupdate\res_icon.bmp
- C:\scoop\mib3\1e9n\zwmkb\log_c83a\aliyunconfig.ini
- %ALLUSERSPROFILE%\displaysessioncontainers.log
Удаляет файлы, которые сам же создал
- C:\scoop\mib3\1e9n\zwmkb\log_c83a\edgedat_svclnr.cfg
Самоудаляется.
Сетевая активность
Подключается к
- '27.##4.18.166':63016
- 'al###########10346.cos.ap-hongkong.myqcloud.com':443
- '10#.#8.21.226':80
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?e2##############
Другие
- '27.##4.18.166':63016
- 'al###########10346.cos.ap-hongkong.myqcloud.com':443
UDP
- DNS ASK al###########10346.cos.ap-hongkong.myqcloud.com
Другое
Создает и запускает на исполнение
- 'C:\scoop\mib3\1e9n\zwmkb\log_c83a\svcupdate.exe'
