Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath $env:TEMP"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%','%ALLUSERSPROFILE%\Windows\Microsoft','%ALLUSERSPROFILE%\Microsoft\Windows'"
Патчит код
в динамической библиотеке AMSI
- Процесс betgocc.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс betgocc.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\pxewmply.exe
Другое
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\pxewmply.exe'
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C powershell -NoProfile -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath $env:TEMP" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C powershell -NoProfile -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%','%ALLUSERSPROFILE%\Windows\Microsoft','%ALLUSERSPROFILE%\Microsoft\Windows'" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C gpupdate /force (со скрытым окном)
- '<SYSTEM32>\gpupdate.exe' /force
- '%ALLUSERSPROFILE%\pxewmply.exe' (со скрытым окном)
