Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'MicrosoftEdgeUpdate' = 'C:\nuget\0IK91\xcYU\Uizj\upd_3784\sysupdate.exe'
Вредоносные функции
Патчит код
в динамической библиотеке NTDLL
- Процесс sysupdate.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- C:\nuget\0ik91\xcyu\uizj\upd_3784\sysupdate.exe
- C:\nuget\0ik91\xcyu\uizj\upd_3784\aliyunwrap.dll
- C:\nuget\0ik91\xcyu\uizj\upd_3784\aliyunwrap_original.dll
- C:\nuget\0ik91\xcyu\uizj\upd_3784\edgestore.dll
- C:\nuget\0ik91\xcyu\uizj\upd_3784\res_bg.bmp
- C:\nuget\0ik91\xcyu\uizj\upd_3784\res_icon.bmp
- C:\nuget\0ik91\xcyu\uizj\upd_3784\webview2loader.dll
- C:\nuget\0ik91\xcyu\uizj\upd_3784\edgedat_svclnr.cfg
- %APPDATA%\microsoft\edgeupdate\edgestore.dll
- %APPDATA%\microsoft\edgeupdate\res_icon.bmp
- C:\nuget\0ik91\xcyu\uizj\upd_3784\aliyunconfig.ini
- %ALLUSERSPROFILE%\displaysessioncontainers.log
Удаляет файлы, которые сам же создал
- C:\nuget\0ik91\xcyu\uizj\upd_3784\edgedat_svclnr.cfg
Самоудаляется.
Сетевая активность
Подключается к
- '45.##2.1.159':6786
TCP
Другие
- '45.##2.1.159':6786
Другое
Создает и запускает на исполнение
- 'C:\nuget\0ik91\xcyu\uizj\upd_3784\sysupdate.exe'
