Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\wudfhost
- <SYSTEM32>\tasks\svchost
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- C:\brokerinto\gy4bz5mqubn8ijt1yehx.exe
- %TEMP%\y8rlht2qtz
- %TEMP%\o3mzxujqfs
- %TEMP%\lxxszj7qin
- %TEMP%\1dnrgekhdl
- %TEMP%\ife8wltlyd
- %TEMP%\ry52olkzv7
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %TEMP%\cfsx8iqqon
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- %TEMP%\vligikq5s2
- %TEMP%\tcnekftzgy
- %TEMP%\0wco6chvme
- %TEMP%\4lvgpg77zl
- %TEMP%\ux26uolbsi
- %TEMP%\2l27hjjdkf
- %TEMP%\f5klyqfbkz
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %TEMP%\exgfdsta4a
- %WINDIR%\setup\state\svchost.exe
- C:\brokerinto\tr2awcmcrsymjulf8rghmsh1bxynfa.vbe
- C:\brokerinto\nfybjzsyxqsdfvmghkjmmni4nj1tnn.bat
- C:\brokerinto\sti9skayzksyitcnlqt8ayljmadr7c.bat
- C:\brokerinto\monitorcrt.exe
- C:\brokerinto\asd58thjp3jwu8fe0ljh24j7ay1ruz.vbe
- C:\users\default user\wudfhost.exe
- C:\users\default user\480b7989c529f6ff17bde430d81d4770fb5337f5
- %WINDIR%\setup\state\f4d236fdec2fd03914189c3b26e5cb0dfea9d761
- %TEMP%\rt40mtr9sh
- %TEMP%\7ga9ezrkki
- %TEMP%\hdbnpow5zk
- %TEMP%\hfy8wac6ju
- %TEMP%\vohbenhuee
- %TEMP%\rdfmu0dvvj
- %TEMP%\btumpfcakx
- %TEMP%\tbgc1unnvt
- %TEMP%\kvt4fic646
- %TEMP%\iv94ec3f4r
Удаляет следующие файлы
- %TEMP%\7ga9ezrkki
- %TEMP%\2l27hjjdkf
- %TEMP%\ux26uolbsi
- %TEMP%\4lvgpg77zl
- %TEMP%\0wco6chvme
- %TEMP%\tcnekftzgy
- %TEMP%\vligikq5s2
- %TEMP%\ry52olkzv7
- %TEMP%\ife8wltlyd
- %TEMP%\1dnrgekhdl
- %TEMP%\lxxszj7qin
- %TEMP%\cfsx8iqqon
- %TEMP%\o3mzxujqfs
- %TEMP%\f5klyqfbkz
- %TEMP%\exgfdsta4a
- %TEMP%\kvt4fic646
- %TEMP%\rt40mtr9sh
- %TEMP%\tbgc1unnvt
- %TEMP%\btumpfcakx
- %TEMP%\rdfmu0dvvj
- %TEMP%\vohbenhuee
- %TEMP%\hfy8wac6ju
- %TEMP%\hdbnpow5zk
- %TEMP%\y8rlht2qtz
- %TEMP%\iv94ec3f4r
Сетевая активность
TCP
Запросы HTTP GET
- http://cu####7.tmweb.ru/agrhva0en412e7w24oyn9pr7wbid1ijr5kk4089rq1w3cia388zt3ep6gn7u0x6ygshuqcts2fbdqzy3ml704fq/jde0txswrcgant943vcyub6hl5gmoyz3scmcazkslujo7p8e5uy1kholeuf98jb/ebf263a2a30831eda...
- http://cu####7.tmweb.ru/agrhva0en412e7w24oyn9pr7wbid1ijr5kk4089rq1w3cia388zt3ep6gn7u0x6ygshuqcts2fbdqzy3ml704fq/jde0txswrcgant943vcyub6hl5gmoyz3scmcazkslujo7p8e5uy1kholeuf98jb/lwqc9yn1b2yh4jdsx...
UDP
- DNS ASK cu####7.tmweb.ru
- DNS ASK ip##fo.io
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "C:\brokerinto\TR2aWcmcRsymJUlF8RGhMSH1bxyNFa.vbe"
- 'C:\brokerinto\gy4bz5mqubn8ijt1yehx.exe' -p8ba8483c1424dcb852abf5c3026ec8b14018454a
- '%WINDIR%\syswow64\wscript.exe' "C:\brokerinto\asd58THjp3JwU8fe0Ljh24j7ay1RuZ.vbe"
- 'C:\brokerinto\monitorcrt.exe'
- '%WINDIR%\setup\state\svchost.exe'
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\brokerinto\nfyBjZSYxQsdFvMghKjMMnI4Nj1tnN.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\brokerinto\sTi9SkAYZKSYitCnlQT8AyLjmadR7c.bat" "' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\brokerinto\nfyBjZSYxQsdFvMghKjMMnI4Nj1tnN.bat" "
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\brokerinto\sTi9SkAYZKSYitCnlQT8AyLjmadR7c.bat" "
- '<SYSTEM32>\schtasks.exe' /create /tn "WUDFHost" /sc ONLOGON /tr "'C:\Users\Default User\WUDFHost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "svchost" /sc ONLOGON /tr "'%WINDIR%\Setup\State\svchost.exe'" /rl HIGHEST /f
