Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '{QS7KDIMA-8L5-1IG6-NIWK-Z2UQ6I2ICEH}' = '"%APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\Cortana.Persona.exe"'
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- <LS_APPDATA>\google\chrome\user data\default\cookies
- <LS_APPDATA>\google\chrome\user data\default\login data
- <LS_APPDATA>\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\enu_8fe970c371a454352535
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\cortana.persona.module.exe.7
- %TEMP%\aut2.tmp
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\1\information.txt
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\1\cookies\mozilla firefox (6).txt
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\1\telegram\d877f783d5d3ef8c1
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\1\telegram\инструкция по установке.txt
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\cortana.persona.module.exe
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\1\telegram\d877f783d5d3ef8c\map0
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\1\steam\инструкция по установке.txt
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\1\steam\config\config.vdf
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\1\screen.jpg
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\cortana.persona.sqlite3.module.dll
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\cortana.persona.sqlite3.module.dll.7
- %TEMP%\aut1.tmp
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\1\steam\config\dialogconfig.vdf
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\enu_8fe970c371a454352535.7z
Удаляет следующие файлы
- %TEMP%\aut1.tmp
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\cortana.persona.sqlite3.module.dll.7
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\cortana.persona.sqlite3.module.dll
- %TEMP%\aut2.tmp
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\cortana.persona.module.exe.7
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\cortana.persona.module.exe
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\1\information.txt
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\1\screen.jpg
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\1\telegram\d877f783d5d3ef8c1
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\1\telegram\инструкция по установке.txt
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\1\telegram\d877f783d5d3ef8c\map0
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\1\steam\инструкция по установке.txt
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\1\steam\config\config.vdf
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\1\steam\config\dialogconfig.vdf
- %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\1\cookies\mozilla firefox (6).txt
Самоперемещается
- из <Полный путь к файлу> в %APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\cortana.persona.exe
Сетевая активность
UDP
- DNS ASK ap#.##legram.org
- DNS ASK ip##i.co
Другое
Создает и запускает на исполнение
- '%APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\cortana.persona.module.exe' a -y -mx9 -ssw "%APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\ENU_8FE970C371A454352535.7z" "%APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\1\*"
- '%APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\cortana.persona.module.exe' a -y -mx9 -ssw "%APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\ENU_8FE970C371A454352535.7z" "%APPDATA%\wow64_microsoft-windows-w..nfrastructure-other\1\*"' (со скрытым окном)
