Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\u-3-4-15-1259564693-1091199892-1292328888-5965\{kb76ypwz-va1z-kkpn-2g98-s7e6461wvl4}
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- <LS_APPDATA>\google\chrome\user data\default\login data
- <LS_APPDATA>\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\enu_7fe972d561482a732535
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\windows.devices.smartcards.module.exe.9
- %TEMP%\aut3f15.tmp
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\1\information.txt
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\1\cookies\mozilla firefox (6).txt
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\1\telegram\d877f783d5d3ef8c1
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\1\telegram\инструкция по установке.txt
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\1\telegram\d877f783d5d3ef8c\map0
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\1\steam\config\dialogconfig.vdf
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\1\steam\инструкция по установке.txt
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\1\steam\config\config.vdf
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\1\screen.jpg
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\windows.devices.smartcards.sqlite3.module.dll
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\windows.devices.smartcards.sqlite3.module.dll.9
- %TEMP%\autbb58.tmp
- <LS_APPDATA>\microsoft\windows\history\low\history.ie5\index.dat
- %APPDATA%\microsoft\windows\cookies\low\index.dat
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\qpvqb2p1\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\rdsmn7qp\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\uz9ou7up\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\q5p0tm5z\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
- <LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
- <LS_APPDATA>\microsoft\windows\history\low\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\windows.devices.smartcards.module.exe
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\enu_7fe972d561482a732535.7z
Присваивает атрибут 'скрытый' для следующих файлов
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\q5p0tm5z\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\uz9ou7up\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\rdsmn7qp\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\qpvqb2p1\desktop.ini
- <LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
- <LS_APPDATA>\microsoft\windows\history\low\desktop.ini
Удаляет следующие файлы
- %TEMP%\autbb58.tmp
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\windows.devices.smartcards.sqlite3.module.dll.9
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\windows.devices.smartcards.sqlite3.module.dll
- %TEMP%\aut3f15.tmp
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\windows.devices.smartcards.module.exe.9
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\windows.devices.smartcards.module.exe
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\1\information.txt
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\1\screen.jpg
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\1\cookies\mozilla firefox (6).txt
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\1\steam\инструкция по установке.txt
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\1\steam\config\config.vdf
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\1\steam\config\dialogconfig.vdf
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\1\telegram\d877f783d5d3ef8c1
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\1\telegram\инструкция по установке.txt
- %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\1\telegram\d877f783d5d3ef8c\map0
Самоперемещается
- из <Полный путь к файлу> в %APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\windows.devices.smartcards.exe
Сетевая активность
Подключается к
- '19#.#01.148.98':65233
TCP
Запросы HTTP GET
- http://oc##.#odaddy.com//MEQwQjBAMD4wPDAJBgUrDgMCGgUABBTkIInKBAzXkF0Qh0pel3lfHJ9GPAQU0sSw0pHUTBFxs2HLPaH%2B3ahq1OMCAxvnFQ%3D%3D
- http://oc##.#odaddy.com//MEIwQDA%2BMDwwOjAJBgUrDgMCGgUABBQdI2%2BOBkuXH93foRUj4a7lAr4rGwQUOpqFBxBnKLbv9r0FQW4gwZTaD94CAQc%3D
- http://oc##.#odaddy.com//MEowSDBGMEQwQjAJBgUrDgMCGgUABBS2CA1fbGt26xPkOKX4ZguoUjM0TgQUQMK9J47MNIMwojPX%2B2yz8LQsgM4CCQChwNmuhlFIyg%3D%3D
- http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/02FAF3E291435468607857694DF5E45B68851868.crt
- http://cr#.#odaddy.com/gdig2s1-827.crl
UDP
- DNS ASK ap#.##legram.org
- DNS ASK ip##i.co
- DNS ASK oc##.#odaddy.com
- DNS ASK cr#.#odaddy.com
Другое
Создает и запускает на исполнение
- '%APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\windows.devices.smartcards.module.exe' a -y -mx9 -ssw "%APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\ENU_7FE972D561482A732535.7z" "%APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\1\*"
- '%APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\windows.devices.smartcards.module.exe' a -y -mx9 -ssw "%APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\ENU_7FE972D561482A732535.7z" "%APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\1\*"' (со скрытым окном)
- '%WINDIR%\syswow64\attrib.exe' +s +h "%APPDATA%\amd64_microsoft-windows-security-tokenbrokerui"' (со скрытым окном)
- '%APPDATA%\amd64_microsoft-windows-security-tokenbrokerui\windows.devices.smartcards.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
- '%WINDIR%\syswow64\attrib.exe' +s +h "%APPDATA%\amd64_microsoft-windows-security-tokenbrokerui"
- '<SYSTEM32>\taskeng.exe' {48E2AA6C-992B-4BA2-858E-41160D1044E2} S-1-5-21-1960123792-2022915161-3775307078-1001:swjbhdafumb\user:Interactive:[1]
