Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\windowsupdatetask
Вредоносные функции
Запускает большое число процессов
Патчит код
в динамической библиотеке NTDLL
- Процесс dlbupy.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\cy95f309f1\corvus.exe
- %TEMP%\cy95f309f1\vcruntime140.dll
- %TEMP%\cy95f309f1\vcruntime140_1.dll
- %TEMP%\cy95f309f1\msvcp140.dll
- %TEMP%\cy95f309f1\msvcp140_1.dll
- %TEMP%\cy95f309f1\msvcp140_2.dll
- %TEMP%\cy95f309f1\msvcp140_atomic_wait.dll
- %TEMP%\cy95f309f1\msvcp140_codecvt_ids.dll
- %TEMP%\cy95f309f1\concrt140.dll
- %APPDATA%\microsoft\corvus.exe
Сетевая активность
Подключается к
- 'ap#.#papi.is':443
- 'x1.#.lencr.org':80
- 'pa###bin.com':443
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Другие
- 'ap#.#papi.is':443
- 'pa###bin.com':443
UDP
- DNS ASK ap#.#papi.is
- DNS ASK x1.#.lencr.org
- DNS ASK pa###bin.com
Другое
Создает и запускает на исполнение
- '%TEMP%\cy95f309f1\corvus.exe'
Перезапускает анализируемый образец
Запускает на исполнение
- '<Полный путь к файлу>' --triage-child 3 (со скрытым окном)
- '<Полный путь к файлу>' --triage-child 2 (со скрытым окном)
- '<Полный путь к файлу>' --triage-child 1 (со скрытым окном)
- '<Полный путь к файлу>' --triage-child 0 (со скрытым окном)
