Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'RuntimeCache' = '"%TEMP%\RuntimeCache\runtimehost.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\runtime cache
- <SYSTEM32>\tasks\runtime cache maintenance
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\runtimecache\runtimehost.exe
Сетевая активность
Подключается к
- 'ap#.#pify.org':443
- 'ip##.#canhazip.com':443
- 'co##ago.lol':443
TCP
Другие
- 'ap#.#pify.org':443
- 'ip##.#canhazip.com':443
- 'co##ago.lol':443
UDP
- DNS ASK ap#.#pify.org
- DNS ASK ip##.#canhazip.com
- DNS ASK co##ago.lol
Другое
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /tn "Runtime Cache" /tr "%TEMP%\RuntimeCache\runtimehost.exe" /sc onlogon /rl limited /f
- '<SYSTEM32>\schtasks.exe' /create /tn "Runtime Cache Maintenance" /tr "%TEMP%\RuntimeCache\runtimehost.exe" /sc hourly /mo 1 /rl limited /f
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -STA -WindowStyle Hidden -ExecutionPolicy Bypass -EncodedCommand JABFAHIAcgBvAHIAQQBjAHQAaQBvAG4AUAByAGUAZgBlAHIAZQBuAGMAZQA9ACcAUwBpAGwAZQBuAHQAbAB5AEMAbwBuAHQAaQBuA...
- '<SYSTEM32>\svchost.exe' -k appmodel -p -s camsvc
