Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\<Имя файла>.exe
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework64\v4.0.30319\servicemodelreg.exe
Патчит код
в динамической библиотеке AMSI
- Процесс servicemodelreg.exe, модуль Amsi.dll
Перехватывает управление с помощью отладочных регистров
в динамической библиотеке NTDLL
- Процесс xqzsss.exe, модуль ntdll.dll
Сетевая активность
Подключается к
- 'ap#.#pify.org':443
- 'my###nuif.com':443
TCP
Другие
- 'ap#.#pify.org':443
- 'my###nuif.com':443
UDP
- DNS ASK ap#.#pify.org
- DNS ASK my###nuif.com
Другое
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\servicemodelreg.exe'
