Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\windowsupdatetask
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Патчит код
в динамической библиотеке NTDLL
- Процесс bint.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\cy25df31ff\corvus.vmp.exe
- %TEMP%\cy25df31ff\vcruntime140.dll
- %TEMP%\cy25df31ff\vcruntime140_1.dll
- %TEMP%\cy25df31ff\msvcp140.dll
- %TEMP%\cy25df31ff\msvcp140_1.dll
- %TEMP%\cy25df31ff\msvcp140_2.dll
- %TEMP%\cy25df31ff\msvcp140_atomic_wait.dll
- %TEMP%\cy25df31ff\msvcp140_codecvt_ids.dll
- %TEMP%\cy25df31ff\concrt140.dll
- %APPDATA%\microsoft\corvus.vmp.exe
- %TEMP%\th90cd.tmp
Сетевая активность
Подключается к
- 'ap#.#papi.is':443
- 'x1.#.lencr.org':80
- 'pa###bin.com':443
- 'localhost':8080
- 'po##.#upportxmr.com':443
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Другие
- 'ap#.#papi.is':443
- 'pa###bin.com':443
- 'po##.#upportxmr.com':443
UDP
- DNS ASK ap#.#papi.is
- DNS ASK x1.#.lencr.org
- DNS ASK pa###bin.com
- DNS ASK po##.#upportxmr.com
Другое
Создает и запускает на исполнение
- '%TEMP%\cy25df31ff\corvus.vmp.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' --encargs 585e011d1b121117581f0004101f4542555e0a52051c0a1e5b001002051c17060d1e175c161c084841475652580645464331131d223e0c20391432063e42262426361445363d51142c450c070042272316325d35442035104746204...
