Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\nvngxupdatecheckdaily_{6eefbfb0-bfb0-bfb0-bfb0-6eefbfb0bfb0}
- %WINDIR%\tasks\jwtrom.job
- <SYSTEM32>\tasks\jwtrom
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\explorer.exe
- %WINDIR%\explorer.exe
следующие пользовательские процессы:
- iexplore.exe
Перехватывает функции
в браузерах
- Процесс firefox.exe, модуль nss3.dll
- Процесс iexplore.exe, модуль wininet.dll
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [<HKCU>\Software\Martin Prikryl]
- [<HKLM>\Software\Wow6432Node\Martin Prikryl]
- [<HKCU>\SOFTWARE\Martin Prikryl\WinSCP 2\Sessions]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %APPDATA%\mozilla\firefox\profiles.ini
- %APPDATA%\thunderbird\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\d47f.tmp
- %TEMP%\b00b.tmp
- %TEMP%\affa.tmp
- %TEMP%\afea.tmp
- %TEMP%\afd9.tmp
- %TEMP%\afb9.tmp
- %TEMP%\afa8.tmp
- %TEMP%\afa7.tmp
- %TEMP%\af97.tmp
- %TEMP%\af86.tmp
- %TEMP%\ae8c.tmp
- %TEMP%\ae7b.tmp
- %TEMP%\ae4b.tmp
- %TEMP%\ae3b.tmp
- %TEMP%\ad02.tmp
- %TEMP%\acd2.tmp-shm
- %TEMP%\acd2.tmp
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %ALLUSERSPROFILE%\q4t0p1u4v4p0q5t6\pnyw0z0zadff.pny
- %TEMP%\7e84.exe
- %ALLUSERSPROFILE%\ovfmu\jwtrom.exe
- %TEMP%\3ddb.exe
- %TEMP%\162e.exe
- %APPDATA%\gggiiti
- %APPDATA%\bjajsiv
- %TEMP%\b00b.tmp-shm
- %ALLUSERSPROFILE%\datasss.png
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\bjajsiv
- %APPDATA%\gggiiti
Удаляет следующие файлы
- %ALLUSERSPROFILE%\q4t0p1u4v4p0q5t6\pnyw0z0zadff.pny
- %TEMP%\b00b.tmp-shm
- %TEMP%\affa.tmp
- %TEMP%\afea.tmp
- %TEMP%\afd9.tmp
- %TEMP%\afb9.tmp
- %TEMP%\afa8.tmp
- %TEMP%\afa7.tmp
- %TEMP%\b00b.tmp
- %TEMP%\af97.tmp
- %TEMP%\ae8c.tmp
- %TEMP%\ae7b.tmp
- %TEMP%\ae4b.tmp
- %TEMP%\ae3b.tmp
- %TEMP%\ad02.tmp
- %TEMP%\acd2.tmp
- %TEMP%\acd2.tmp-shm
- %TEMP%\af86.tmp
- %TEMP%\3ddb.exe
Подменяет следующие файлы
- %ALLUSERSPROFILE%\q4t0p1u4v4p0q5t6\pnyw0z0zadff.pny
Самоудаляется.
Сетевая активность
TCP
Запросы HTTP GET
- http://lm####advert549.xyz/socks111.exe
- http://cu####ihaiphat.com/Taurus6.exe
- http://lm####advert549.xyz/tau111.exe
- http://ap#.#pify.org/?fo########
Запросы HTTP POST
- http://5.##7.4.92/cfg/
- http://5.##7.4.92/log/
- http://re###at35xm.xyz/statweb577/
UDP
- DNS ASK re###at35xm.xyz
- DNS ASK lm####advert549.xyz
- DNS ASK bi###cket.org
- DNS ASK cu####ihaiphat.com
- DNS ASK ap#.#pify.org
- DNS ASK gz####erv639.xyz
- DNS ASK sd###ert197.com
Другое
Создает и запускает на исполнение
- '%TEMP%\162e.exe'
- '%TEMP%\3ddb.exe'
- '%TEMP%\7e84.exe'
- '%ALLUSERSPROFILE%\ovfmu\jwtrom.exe' start
- '%ALLUSERSPROFILE%\ovfmu\jwtrom.exe' start' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\explorer.exe'
- '%WINDIR%\explorer.exe'
- '%WINDIR%\syswow64\cmd.exe' timeout /t 3 & del /f /q %TEMP%\3DDB.exe
- '%WINDIR%\syswow64\timeout.exe' /t 3
