Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'CCNmfs' = '%TEMP%\84mdyv81.exe'
Вредоносные функции
Патчит код
в динамической библиотеке AMSI
- Процесс 84mdyv81.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс 84mdyv81.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\84mdyv81.exe
- %TEMP%\crashreporter.dll
- %TEMP%\mobiyou.mumu
- %TEMP%\cnmfs.exe
- %TEMP%\regsetup.txt
- %ALLUSERSPROFILE%\setup_cnmfs.lnk
- %LOCALAPPDATA%\84mdyv81.exe
- %APPDATA%\remotelyos\config.json.tmp
Удаляет файлы, которые сам же создал
- %TEMP%\cnmfs.exe
- %ALLUSERSPROFILE%\setup_cnmfs.lnk
- %TEMP%\regsetup.txt
Перемещает следующие файлы
- %APPDATA%\remotelyos\config.json.tmp в %APPDATA%\remotelyos\config.json
Подменяет следующие файлы
- %APPDATA%\remotelyos\config.json.tmp
- %APPDATA%\remotelyos\config.json
Сетевая активность
Подключается к
- '18#.#6.72.130':1523
TCP
Другие
- '18#.#6.72.130':1523
UDP
- DNS ASK mu##any.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: '84mdyv81.exe'
- ClassName: '' WindowName: '%TEMP%\84mdyv81.exe'
Создает и запускает на исполнение
- '%TEMP%\84mdyv81.exe'
- '%TEMP%\cnmfs.exe'
