Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса с помощью следующих ключей реестра:
- [HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '%LOCALAPPDATA%\Microsoft\CoreRuntime' = '00000000'
Патчит код
в динамической библиотеке AMSI
- Процесс ~7bb3.tmp, модуль Amsi.dll
- Процесс searchprotocolhost.exe, модуль Amsi.dll
- Процесс searchfilterhost.exe, модуль Amsi.dll
- Процесс taskhostw.exe, модуль Amsi.dll
- Процесс sihost.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс ~7bb3.tmp, модуль ntdll.dll
- Процесс searchprotocolhost.exe, модуль ntdll.dll
- Процесс searchfilterhost.exe, модуль ntdll.dll
- Процесс taskhostw.exe, модуль ntdll.dll
- Процесс sihost.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\~7bb3.tmp
- %LOCALAPPDATA%\microsoft\coreruntime\searchprotocolhost.exe
- %LOCALAPPDATA%\microsoft\coreruntime\searchfilterhost.exe
- %LOCALAPPDATA%\microsoft\coreruntime\taskhostw.exe
- %LOCALAPPDATA%\microsoft\coreruntime\sihost.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %LOCALAPPDATA%\microsoft\coreruntime\searchprotocolhost.exe
- %LOCALAPPDATA%\microsoft\coreruntime\searchfilterhost.exe
- %LOCALAPPDATA%\microsoft\coreruntime\taskhostw.exe
- %LOCALAPPDATA%\microsoft\coreruntime\sihost.exe
Сетевая активность
UDP
- DNS ASK de####sync.ipv64.de
- DNS ASK mo#####.map.fastly.net
Другое
Создает и запускает на исполнение
- '%TEMP%\~7bb3.tmp'
- '%LOCALAPPDATA%\microsoft\coreruntime\searchprotocolhost.exe'
- '%LOCALAPPDATA%\microsoft\coreruntime\searchfilterhost.exe'
- '%LOCALAPPDATA%\microsoft\coreruntime\taskhostw.exe'
- '%LOCALAPPDATA%\microsoft\coreruntime\sihost.exe'
Запускает на исполнение
- '%TEMP%\~7bb3.tmp' (со скрытым окном)
