Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса с помощью следующих ключей реестра:
- [HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '%LOCALAPPDATA%\Microsoft\CoreRuntime' = '00000000'
Патчит код
в динамической библиотеке AMSI
- Процесс iyqwzc.exe, модуль Amsi.dll
- Процесс searchprotocolhost.exe, модуль Amsi.dll
- Процесс searchfilterhost.exe, модуль Amsi.dll
- Процесс taskhostw.exe, модуль Amsi.dll
- Процесс sihost.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс iyqwzc.exe, модуль ntdll.dll
- Процесс searchprotocolhost.exe, модуль ntdll.dll
- Процесс searchfilterhost.exe, модуль ntdll.dll
- Процесс taskhostw.exe, модуль ntdll.dll
- Процесс sihost.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\coreruntime\searchprotocolhost.exe
- %LOCALAPPDATA%\microsoft\coreruntime\searchfilterhost.exe
- %LOCALAPPDATA%\microsoft\coreruntime\taskhostw.exe
- %LOCALAPPDATA%\microsoft\coreruntime\sihost.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %LOCALAPPDATA%\microsoft\coreruntime\searchprotocolhost.exe
- %LOCALAPPDATA%\microsoft\coreruntime\searchfilterhost.exe
- %LOCALAPPDATA%\microsoft\coreruntime\taskhostw.exe
- %LOCALAPPDATA%\microsoft\coreruntime\sihost.exe
Сетевая активность
TCP
Другие
- 'de####sync.ipv64.de':60485
UDP
- DNS ASK de####sync.ipv64.de
- DNS ASK ap#.#pify.org
Другое
Создает и запускает на исполнение
- '%LOCALAPPDATA%\microsoft\coreruntime\searchprotocolhost.exe'
- '%LOCALAPPDATA%\microsoft\coreruntime\searchfilterhost.exe'
- '%LOCALAPPDATA%\microsoft\coreruntime\taskhostw.exe'
- '%LOCALAPPDATA%\microsoft\coreruntime\sihost.exe'
