Техническая информация
Вредоносные функции
Патчит код
в динамической библиотеке AMSI
- Процесс tgfile.exe, модуль Amsi.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-bf6tgvt6n0.tmp\<Имя файла>.tmp
- %TEMP%\is-gp78bsogqm.tmp\_isetup\_setup64.tmp
- C:\programlog\windows\csdemo\is-o5bxfwc5he.tmp
- C:\programlog\windows\appdata\local\microsoft\log\is-6q3nsvao91.tmp
- C:\programlog\windows\appdata\local\microsoft\log\is-2vlmpuzhjv.tmp
- C:\programlog\windows\appdata\local\microsoft\log\is-xvu5dfjv8x.tmp
- C:\programlog\windows\appdata\local\microsoft\log\is-7r8y5i2cj1.tmp
- C:\programlog\windows\appdata\local\microsoft\log\is-38lmdnbs1b.tmp
- C:\programlog\windows\appdata\local\microsoft\log\is-1pjppoxocx.tmp
- C:\programlog\windows\appdata\local\microsoft\log\is-hrxtoomqcb.tmp
- %APPDATA%\microsoft\windows\start menu\programs\(default)\卸载.lnk
- C:\programlog\windows\csdemo\unins000.dat
Удаляет файлы, которые сам же создал
- %TEMP%\is-gp78bsogqm.tmp\_isetup\_setup64.tmp
- %TEMP%\is-bf6tgvt6n0.tmp\<Имя файла>.tmp
Перемещает следующие файлы
- C:\programlog\windows\csdemo\is-o5bxfwc5he.tmp в C:\programlog\windows\csdemo\unins000.exe
- C:\programlog\windows\appdata\local\microsoft\log\is-6q3nsvao91.tmp в C:\programlog\windows\appdata\local\microsoft\log\tgfile.exe
- C:\programlog\windows\appdata\local\microsoft\log\is-2vlmpuzhjv.tmp в C:\programlog\windows\appdata\local\microsoft\log\setting.lua
- C:\programlog\windows\appdata\local\microsoft\log\is-xvu5dfjv8x.tmp в C:\programlog\windows\appdata\local\microsoft\log\microsoft.windowsappruntime.bootstrap.dll
- C:\programlog\windows\appdata\local\microsoft\log\is-7r8y5i2cj1.tmp в C:\programlog\windows\appdata\local\microsoft\log\log.s
- C:\programlog\windows\appdata\local\microsoft\log\is-38lmdnbs1b.tmp в C:\programlog\windows\appdata\local\microsoft\log\msvcr100.dll
- C:\programlog\windows\appdata\local\microsoft\log\is-1pjppoxocx.tmp в C:\programlog\windows\appdata\local\microsoft\log\vcruntime140.dll
- C:\programlog\windows\appdata\local\microsoft\log\is-hrxtoomqcb.tmp в C:\programlog\windows\appdata\local\microsoft\log\metting.exe
Сетевая активность
Подключается к
- '23.##8.202.170':6667
TCP
Другие
- '23.##8.202.170':6667
Другое
Создает и запускает на исполнение
- '%TEMP%\is-bf6tgvt6n0.tmp\<Имя файла>.tmp' /SL5="$E003E,3067378,893952,<Полный путь к файлу>"
- 'C:\programlog\windows\appdata\local\microsoft\log\tgfile.exe'
Запускает на исполнение
- 'C:\programlog\windows\appdata\local\microsoft\log\tgfile.exe' (со скрытым окном)
