Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate_LTL2' = '%LOCALAPPDATA%\Microsoft\Windows\Explorer\thumbcache_LTL2X7jD\ExplorerBroker.exe'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\runtimebroker.exe
Патчит код
в динамической библиотеке NTDLL
- Процесс regsvr32.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\windows\explorer\thumbcache_ltl2x7jd\settings.dat
- %LOCALAPPDATA%\microsoft\windows\explorer\thumbcache_ltl2x7jd\explorerbroker.exe
Сетевая активность
Подключается к
- 'gi##ub.com':443
- '14#.#5.118.172':80
- 'oc##.#ectigo.com':80
- 're#########ets.githubusercontent.com':443
- 'x1.#.lencr.org':80
- 'yr.#.lencr.org':80
- 'yr#.#.lencr.org':80
- 'de###-us.com':443
TCP
Запросы HTTP GET
- http://oc##.#ectigo.com/MFIwUDBOMEwwSjAJBgUrDgMCGgUABBS3DhJWomGbOJFU%2Fpy58BaOB6aMCwQUF5moBMFv5C1wqAoQPQPT6Rq4JmMCEQClnr21lnUdt%2FXAlQeWE5U8
- http://yr.#.lencr.org/
- http://yr#.#.lencr.org/127.crl
Другие
- 'gi##ub.com':443
- 're#########ets.githubusercontent.com':443
UDP
- DNS ASK gi##ub.com
- DNS ASK oc##.#ectigo.com
- DNS ASK re#########ets.githubusercontent.com
- DNS ASK x1.#.lencr.org
- DNS ASK yr.#.lencr.org
- DNS ASK yr#.#.lencr.org
- DNS ASK de###-us.com
Другое
Запускает на исполнение
- '<SYSTEM32>\runtimebroker.exe' (со скрытым окном)
