Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\runtimebroker.exe
Патчит код
в динамической библиотеке NTDLL
- Процесс regsvr32.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\windows\explorer\thumbcache_ohprsoej\settings.dat
- %LOCALAPPDATA%\microsoft\windows\explorer\thumbcache_ohprsoej\explorerbroker.exe
Сетевая активность
Подключается к
- 'gi##ub.com':443
- 'oc##.#ectigo.com':80
- 're#########ets.githubusercontent.com':443
- 'x1.#.lencr.org':80
- 'yr.#.lencr.org':80
- 'yr#.#.lencr.org':80
- 'in###.#hantomai99.com':443
- 'ap#.#pify.org':443
TCP
Запросы HTTP GET
- http://oc##.#ectigo.com/MFIwUDBOMEwwSjAJBgUrDgMCGgUABBS3DhJWomGbOJFU%2Fpy58BaOB6aMCwQUF5moBMFv5C1wqAoQPQPT6Rq4JmMCEQClnr21lnUdt%2FXAlQeWE5U8
- http://yr.#.lencr.org/
- http://yr#.#.lencr.org/127.crl
Другие
- 'gi##ub.com':443
- 're#########ets.githubusercontent.com':443
- 'in###.#hantomai99.com':443
- 'ap#.#pify.org':443
UDP
- DNS ASK gi##ub.com
- DNS ASK oc##.#ectigo.com
- DNS ASK re#########ets.githubusercontent.com
- DNS ASK x1.#.lencr.org
- DNS ASK yr.#.lencr.org
- DNS ASK yr#.#.lencr.org
- DNS ASK in###.#hantomai99.com
- DNS ASK ap#.#pify.org
Другое
Запускает на исполнение
- '<SYSTEM32>\runtimebroker.exe' (со скрытым окном)
