Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -WindowStyle Hidden -Command "try{Add-MpPreference -ExclusionPath '%WINDIR%\Temp' -ErrorAction SilentlyContinue}catch{};try{Add-MpPreference -ExclusionPath '%WINDIR%\Temp\Microsoft\W...
Патчит код
в динамической библиотеке AMSI
- Процесс xdktrsxx.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс xdktrsxx.exe, модуль ntdll.dll
Сетевая активность
Подключается к
- 'so##ow.fit':443
TCP
Запросы HTTP POST
- http://so###w.fit:443/ping via so##ow.fit
Другие
- 'so##ow.fit':443
UDP
- DNS ASK so##ow.fit
Другое
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -WindowStyle Hidden -Command "try{Add-MpPreference -ExclusionPath '%WINDIR%\Temp' -ErrorAction SilentlyContinue}catch{};try{Add-MpPreference -ExclusionPath '%WINDIR%\Temp\Microsoft\W... (со скрытым окном)
