Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'kyIBGewP' = 'C:\Users\Public\k4g7u5692\bcchgsvvww.exe'
Вредоносные функции
Патчит код
в динамической библиотеке
- Процесс bcchgsvvww.exe, модуль dbgcore.dll
в динамической библиотеке AMSI
- Процесс bcchgsvvww.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс bcchgsvvww.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\k4g7u5692\bcchgsvvww.exe
- C:\users\public\k4g7u5692\pbislnqso.tmp
- %APPDATA%\49286b33000075df\1
- %APPDATA%\49286b33000075df\time
- %APPDATA%\49286b33000075df\group
- %APPDATA%\49286b33000075df\hwid
- %APPDATA%\49286b33000075df\remark
- %APPDATA%\49286b33000075df\settingtime
- %APPDATA%\49286b33000075df\address
- %APPDATA%\49286b33000075df\filter
- %APPDATA%\49286b33000075df\plug\1\95aaecaf3491d990db10d6a1de7de2cf
- %APPDATA%\49286b33000075df\version
Сетевая активность
Подключается к
- 'xs#.#xkj999.vip':443
TCP
Другие
- 'xs#.#xkj999.vip':443
UDP
- DNS ASK xs#.#xkj999.vip
Другое
Создает и запускает на исполнение
- 'C:\users\public\k4g7u5692\bcchgsvvww.exe'
Запускает на исполнение
- 'C:\users\public\k4g7u5692\bcchgsvvww.exe' (со скрытым окном)
