Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'MicrosoftEdgeUpdate' = 'C:\golang\Zp5Tm\2kB7\aLmI\tmp_6B26\agenthost.exe'
Вредоносные функции
Патчит код
в динамической библиотеке NTDLL
- Процесс agenthost.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- C:\golang\zp5tm\2kb7\almi\tmp_6b26\agenthost.exe
- C:\golang\zp5tm\2kb7\almi\tmp_6b26\aliyunwrap.dll
- C:\golang\zp5tm\2kb7\almi\tmp_6b26\aliyunwrap_original.dll
- C:\golang\zp5tm\2kb7\almi\tmp_6b26\edgestore.dll
- C:\golang\zp5tm\2kb7\almi\tmp_6b26\res_bg.bmp
- C:\golang\zp5tm\2kb7\almi\tmp_6b26\res_icon.bmp
- C:\golang\zp5tm\2kb7\almi\tmp_6b26\webview2loader.dll
- C:\golang\zp5tm\2kb7\almi\tmp_6b26\edgedat_svclnr.cfg
- %APPDATA%\microsoft\edgeupdate\edgestore.dll
- %APPDATA%\microsoft\edgeupdate\res_icon.bmp
- C:\golang\zp5tm\2kb7\almi\tmp_6b26\aliyunconfig.ini
- %ALLUSERSPROFILE%\displaysessioncontainers.log
Удаляет файлы, которые сам же создал
- C:\golang\zp5tm\2kb7\almi\tmp_6b26\edgedat_svclnr.cfg
Самоудаляется.
Сетевая активность
Подключается к
- '15#.#17.98.111':12854
TCP
Другие
- '15#.#17.98.111':12854
Другое
Создает и запускает на исполнение
- 'C:\golang\zp5tm\2kb7\almi\tmp_6b26\agenthost.exe'
