Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\t-1-3-15-1281610747-1232909648-1303384596-9994\{xxpuqq-5lq2-pls8-rxzd-xz6r5qeuqcok}
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- <LS_APPDATA>\google\chrome\user data\default\login data
- <LS_APPDATA>\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\enu_687fe975975657ab2535
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\api-ms-win-core-localization-l1-2-0.module.exe.7
- %TEMP%\aut7edd.tmp
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\1\information.txt
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\1\cookies\mozilla firefox (6).txt
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\1\telegram\d877f783d5d3ef8c1
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\1\telegram\инструкция по установке.txt
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\1\telegram\d877f783d5d3ef8c\map0
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\1\steam\config\dialogconfig.vdf
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\1\steam\инструкция по установке.txt
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\1\steam\config\config.vdf
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\1\screen.jpg
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\api-ms-win-core-localization-l1-2-0.sqlite3.module.dll
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\api-ms-win-core-localization-l1-2-0.sqlite3.module.dll.7
- %TEMP%\auteb8f.tmp
- <LS_APPDATA>\microsoft\windows\history\low\history.ie5\index.dat
- %APPDATA%\microsoft\windows\cookies\low\index.dat
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\9ptm1f8m\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\pdqy5i2y\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\7yct50s9\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\n1aqwug8\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
- <LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
- <LS_APPDATA>\microsoft\windows\history\low\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\api-ms-win-core-localization-l1-2-0.module.exe
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\enu_687fe975975657ab2535.7z
Присваивает атрибут 'скрытый' для следующих файлов
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\n1aqwug8\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\7yct50s9\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\pdqy5i2y\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\9ptm1f8m\desktop.ini
- <LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
- <LS_APPDATA>\microsoft\windows\history\low\desktop.ini
Удаляет следующие файлы
- %TEMP%\auteb8f.tmp
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\api-ms-win-core-localization-l1-2-0.sqlite3.module.dll.7
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\api-ms-win-core-localization-l1-2-0.sqlite3.module.dll
- %TEMP%\aut7edd.tmp
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\api-ms-win-core-localization-l1-2-0.module.exe.7
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\api-ms-win-core-localization-l1-2-0.module.exe
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\1\information.txt
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\1\screen.jpg
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\1\cookies\mozilla firefox (6).txt
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\1\steam\инструкция по установке.txt
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\1\steam\config\config.vdf
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\1\steam\config\dialogconfig.vdf
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\1\telegram\d877f783d5d3ef8c1
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\1\telegram\инструкция по установке.txt
- %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\1\telegram\d877f783d5d3ef8c\map0
Самоперемещается
- из <Полный путь к файлу> в %APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\api-ms-win-core-localization-l1-2-0.exe
Сетевая активность
TCP
Запросы HTTP GET
- http://oc##.#odaddy.com//MEQwQjBAMD4wPDAJBgUrDgMCGgUABBTkIInKBAzXkF0Qh0pel3lfHJ9GPAQU0sSw0pHUTBFxs2HLPaH%2B3ahq1OMCAxvnFQ%3D%3D
- http://cr#.#odaddy.com/gdroot.crl
- http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/02FAF3E291435468607857694DF5E45B68851868.crt
- http://oc##.#odaddy.com//MEIwQDA%2BMDwwOjAJBgUrDgMCGgUABBQdI2%2BOBkuXH93foRUj4a7lAr4rGwQUOpqFBxBnKLbv9r0FQW4gwZTaD94CAQc%3D
- http://cr#.#odaddy.com/gdroot-g2.crl
- http://oc##.#odaddy.com//MEowSDBGMEQwQjAJBgUrDgMCGgUABBS2CA1fbGt26xPkOKX4ZguoUjM0TgQUQMK9J47MNIMwojPX%2B2yz8LQsgM4CCQChwNmuhlFIyg%3D%3D
- http://cr#.#odaddy.com/gdig2s1-827.crl
- http://oc##.#odaddy.com//MEgwRjBEMEIwQDAJBgUrDgMCGgUABBS2CA1fbGt26xPkOKX4ZguoUjM0TgQUQMK9J47MNIMwojPX%2B2yz8LQsgM4CBwQLre%2BWcn4%3D
- http://oc##.#tartssl.com/sub/class2/code/ca/MEMwQTA%2FMD0wOzAJBgUrDgMCGgUABBQSOgrhRCSnWfKxoWTjWxhk8hga9AQU0E4PQJlsuEsZbzsouODjiAc0qrcCAhAV
UDP
- DNS ASK ap#.##legram.org
- DNS ASK ip##i.co
- DNS ASK oc##.#odaddy.com
- DNS ASK cr#.#odaddy.com
- DNS ASK oc##.#tartssl.com
Другое
Создает и запускает на исполнение
- '%APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\api-ms-win-core-localization-l1-2-0.module.exe' a -y -mx9 -ssw "%APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\ENU_687FE975975657AB2535.7z" "%APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\1\*"
- '%APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\api-ms-win-core-localization-l1-2-0.module.exe' a -y -mx9 -ssw "%APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\ENU_687FE975975657AB2535.7z" "%APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\1\*"' (со скрытым окном)
- '%WINDIR%\syswow64\attrib.exe' +s +h "%APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice"' (со скрытым окном)
- '%APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice\api-ms-win-core-localization-l1-2-0.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
- '%WINDIR%\syswow64\attrib.exe' +s +h "%APPDATA%\amd64_microsoft-windows-c..nt-xpsrasterservice"
- '<SYSTEM32>\taskeng.exe' {80C14CE9-B210-4B5C-8348-281973C58D27} S-1-5-21-1960123792-2022915161-3775307078-1001:kzwuvugie\user:Interactive:[1]
