Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\backgroundtaskhost.exe
Перехватывает управление с помощью отладочных регистров
в динамической библиотеке
- Процесс wgtqs.exe, модуль USER32.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\20260921_075519_462396_1.xlsx
- %LOCALAPPDATA%\4cdjhf4v\data\patch_6410.cab
- %LOCALAPPDATA%\4cdjhf4v\data\trace_2023-05-28.log
- %LOCALAPPDATA%\4cdjhf4v\data\debug.8.log
- %LOCALAPPDATA%\4cdjhf4v\data\package_2022.zip
- %LOCALAPPDATA%\4cdjhf4v\data\sqli79882.dll
- %LOCALAPPDATA%\4cdjhf4v\data\img_20220523_112818.jpg
- %ALLUSERSPROFILE%\certpropagationhost\certpropagationhost.exe
- %ALLUSERSPROFILE%\certpropagationhost\usbmon32.dll
- %ALLUSERSPROFILE%\certpropagationhost\cache.pmt
Сетевая активность
Подключается к
- '64.##.27.220':998
TCP
Другие
- '64.##.27.220':998
Другое
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\certpropagationhost\certpropagationhost.exe'
Запускает на исполнение
- '%WINDIR%\explorer.exe' "%TEMP%\20260921_075519_462396_1.xlsx"
- '<SYSTEM32>\tieringengineservice.exe'
- '<SYSTEM32>\svchost.exe' -k AssignedAccessManagerSvc -s AssignedAccessManagerSvc
- '%WINDIR%\syswow64\backgroundtaskhost.exe'
