Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\nvngxupdatecheckdaily_{a5ecd9c6-d9c6-d9c6-d9c6-a5ecd9c6d9c6}
- %WINDIR%\tasks\budkxg.job
- <SYSTEM32>\tasks\budkxg
Вредоносные функции
Загружает и запускает на исполнение
- https://artvida.net/client.exe как $pathtoexe
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\explorer.exe
- %WINDIR%\explorer.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [<HKCU>\Software\Martin Prikryl]
- [<HKLM>\Software\Wow6432Node\Martin Prikryl]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %APPDATA%\opera software\opera stable\login data
- %APPDATA%\thunderbird\profiles.ini
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\9ad.tmp
- %TEMP%\8950.tmp
- %TEMP%\893f.tmp
- %TEMP%\892e.tmp
- %TEMP%\892d.tmp
- %TEMP%\891d.tmp
- %TEMP%\890c.tmp
- %TEMP%\890b.tmp
- %TEMP%\88eb.tmp
- %TEMP%\88da.tmp
- %TEMP%\886c.tmp
- %TEMP%\883c.tmp
- %TEMP%\881c.tmp
- %TEMP%\8950.tmp-shm
- %TEMP%\880b.tmp
- %TEMP%\86b1.tmp-shm
- %TEMP%\86b1.tmp
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %TEMP%\6e3a.tmp.bat
- %PROGRAMDATA%\qdnak\budkxg.exe
- %TEMP%\4a94.tmp.exe
- %TEMP%\2548.tmp.exe
- %APPDATA%\sjvactw
- %APPDATA%\tturuwu
- %TEMP%\86e1.tmp
- %LOCALAPPDATA%low\ecckedlhhief.chb
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\tturuwu
- %APPDATA%\sjvactw
Удаляет следующие файлы
- %TEMP%\86b1.tmp-shm
- %TEMP%\8950.tmp-shm
- %TEMP%\893f.tmp
- %TEMP%\892e.tmp
- %TEMP%\892d.tmp
- %TEMP%\891d.tmp
- %TEMP%\890c.tmp
- %TEMP%\890b.tmp
- %TEMP%\88eb.tmp
- %TEMP%\88da.tmp
- %TEMP%\886c.tmp
- %TEMP%\883c.tmp
- %TEMP%\881c.tmp
- %TEMP%\880b.tmp
- %TEMP%\86e1.tmp
- %TEMP%\86b1.tmp
- %TEMP%\8950.tmp
- %LOCALAPPDATA%low\ecckedlhhief.chb
Подменяет следующие файлы
- %LOCALAPPDATA%low\ecckedlhhief.chb
Самоудаляется.
Сетевая активность
TCP
Запросы HTTP POST
- http://18#.#41.62.161/gate/cfg/?po############################
- http://se######techsupport.best/
- http://18#.#41.62.161/gate/log?po##################################################################################################################################################
- http://18#.#41.62.161/gate/log/?po##################################################################################################################################################
UDP
- DNS ASK se#####-techsupport.xyz
- DNS ASK se######techsupport.best
- DNS ASK wi####tionsocks.com
- DNS ASK wi####tionsocks.xyz
Другое
Создает и запускает на исполнение
- '%TEMP%\2548.tmp.exe'
- '%TEMP%\4a94.tmp.exe'
- '%PROGRAMDATA%\qdnak\budkxg.exe' start
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\6E3A.tmp.bat" "' (со скрытым окном)
- '%PROGRAMDATA%\qdnak\budkxg.exe' start' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\6E3A.tmp.bat" "
- '%WINDIR%\syswow64\explorer.exe'
- '%WINDIR%\explorer.exe'
