Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\wanarp] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\RasMan] 'Start' = '00000002'
Вредоносные функции
Патчит код
в динамической библиотеке AMSI
- Процесс eybu.exe, модуль Amsi.dll
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\rasphone.exe
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\connecteddevices\0410cb794820ebb1\eybu.exe
- C:\users\public\a4367b0614434ff2.cmp
- C:\users\public\a4367b0614434ff2.cms
- C:\users\public\a4367b0614434ff2.pbk
Сетевая активность
Подключается к
- '19#.#38.181.37':56001
TCP
Другие
- '19#.#38.181.37':56001
Другое
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\connecteddevices\0410cb794820ebb1\eybu.exe'
Запускает на исполнение
- '<SYSTEM32>\rasphone.exe' -f "C:\Users\Public\A4367B0614434FF2.pbk" -d "PoCEntry"
- '<SYSTEM32>\cmd.exe' /c start "" "%ALLUSERSPROFILE%\ConnectedDevices\0410cb794820ebb1\eybu.exe"
