レジストリキーの追加により、感染したサービスにさらに不正な権限が付与されました。含む一連のトークン特権を呼び出しました。所有権に関係なく、システム上のあらゆるファイルへの読み取りと書き込みのアクセス制御が可能になります。レジストリハイブおよびすべてのファイルのバックアップを取得しました。その中には管理者のハッシュも含まれます。SeTcbPrivilegeも呼び出されました。この権限により、プロセスレベルのアクセストークンが変更され、認証情報を知らなくても他のユーザーのなりすましが可能になります。使用された最初の常駐化メカニズムを観測しました。エージェントの展開についてのレポートに記載されているプロセスに酷似しています。関数がエクスポートされているようです。リダイレクトするために使用されているとソフォスは確信しています。ドメインとの通信を確立します。(https://cloud.keepasses[.]com:443;29s)。両方が含まれていました。サイドロードするのが確認されました。バックドアをサイドロードするプロセスにも似ています。バックドアが最終的なペイロードとして意図されたものであるかどうかは確認できませんでした。正規バージョンに埋め込まれたマルウェアが実行されるのを確認しました。重複しているのを発見しました。実行ファイルの冒頭のコードセクションを悪意のあるコードで上書きしました。このファイルは「C:\Windows\SysWOW64\setup\MSI64.EXE」として実行されます。動的に解析するものでした。コールを解決して実行しようとしているかを難読化します。ステージングされます。使用して解凍され、実行される最終的なペイロードのシェルコードです。シェルコードをリバースエンジニアリングしたところ、ペイロードの多くの機能が明らかになりました。