Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath '<Полный путь к файлу>'
Патчит код
в динамической библиотеке AMSI
- Процесс stsac.exe, модуль Amsi.dll
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\clr_v4.0_32\usagelogs\<Имя файла>.exe.log
Самоудаляется.
Сетевая активность
Подключается к
- 'ap#.#pify.org':80
TCP
Запросы HTTP GET
- http://ap#.#pify.org/
UDP
- DNS ASK ap#.#pify.org
- DNS ASK mo#####.map.fastly.net
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Start-Sleep -Seconds 2; Remove-Item -path '<Полный путь к файлу>'
