Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\nafdfnasia
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\cmd32.exe
- %LOCALAPPDATA%low\6ncp2r9wcbw1
- %LOCALAPPDATA%low\ulgfsotuhn1e
- %LOCALAPPDATA%low\iz1liib258lq
- %LOCALAPPDATA%low\duzqbxxg43kk
- %LOCALAPPDATA%low\0s4c9aokmkaf
- %LOCALAPPDATA%low\0746tn15wegm
- %LOCALAPPDATA%low\xwqldgjepes5
- %LOCALAPPDATA%low\4jybdj8tbobj
- %LOCALAPPDATA%low\q5p4ull7l0ve-shm
- %LOCALAPPDATA%low\q5p4ull7l0ve
- %LOCALAPPDATA%low\ym6hrjh1n3nb
- %LOCALAPPDATA%low\xkvlzukriz1q
- %LOCALAPPDATA%low\w0n7zt4hnknp-shm
- %LOCALAPPDATA%low\47uh0d49w7w4
- %LOCALAPPDATA%low\w0n7zt4hnknp
- %LOCALAPPDATA%low\qnt1wcw46scu
- %LOCALAPPDATA%low\4y26oj8x81rw
- %LOCALAPPDATA%low\pyrho1p1bfkn
- %LOCALAPPDATA%low\sqlite3.dll
- %LOCALAPPDATA%low\softokn3.dll
- %LOCALAPPDATA%low\freebl3.dll
- %LOCALAPPDATA%low\mozglue.dll
- %LOCALAPPDATA%low\vcruntime140.dll
- %TEMP%\is-2qv42.tmp\_isetup\_setup64.tmp
- %LOCALAPPDATA%low\msvcp140.dll
- %TEMP%\is-bo9de.tmp\wintools.tmp
- %LOCALAPPDATA%low\nss3.dll
- %TEMP%\wintools.exe
- %LOCALAPPDATA%low\vmm1rs1l79sq
- %LOCALAPPDATA%low\yve7wa2kyfb8
Удаляет следующие файлы
- %LOCALAPPDATA%low\pyrho1p1bfkn
- %LOCALAPPDATA%low\yve7wa2kyfb8
- %LOCALAPPDATA%low\47uh0d49w7w4
- %LOCALAPPDATA%low\6ncp2r9wcbw1
- %LOCALAPPDATA%low\ulgfsotuhn1e
- %LOCALAPPDATA%low\iz1liib258lq
- %LOCALAPPDATA%low\duzqbxxg43kk
- %LOCALAPPDATA%low\0s4c9aokmkaf
- %LOCALAPPDATA%low\0746tn15wegm
- %LOCALAPPDATA%low\xwqldgjepes5
- %LOCALAPPDATA%low\4jybdj8tbobj
- %LOCALAPPDATA%low\q5p4ull7l0ve
- %LOCALAPPDATA%low\q5p4ull7l0ve-shm
- %LOCALAPPDATA%low\ym6hrjh1n3nb
- %LOCALAPPDATA%low\xkvlzukriz1q
- %LOCALAPPDATA%low\w0n7zt4hnknp
- %LOCALAPPDATA%low\w0n7zt4hnknp-shm
- %LOCALAPPDATA%low\vmm1rs1l79sq
- %LOCALAPPDATA%low\qnt1wcw46scu
- %LOCALAPPDATA%low\4y26oj8x81rw
- %LOCALAPPDATA%low\nss3.dll
- %LOCALAPPDATA%low\sqlite3.dll
Сетевая активность
Подключается к
- '88.##9.171.79':80
- 'cd#.##scordapp.com':443
TCP
Запросы HTTP GET
- http://88.##9.171.79/aN7jD0qO6kT5bK5bQ4eR8fE1xP7hL2vK/msvcp140.dll
- http://88.##9.171.79/aN7jD0qO6kT5bK5bQ4eR8fE1xP7hL2vK/vcruntime140.dll
- http://88.##9.171.79/aN7jD0qO6kT5bK5bQ4eR8fE1xP7hL2vK/mozglue.dll
- http://88.##9.171.79/aN7jD0qO6kT5bK5bQ4eR8fE1xP7hL2vK/freebl3.dll
- http://88.##9.171.79/aN7jD0qO6kT5bK5bQ4eR8fE1xP7hL2vK/softokn3.dll
- http://88.##9.171.79/aN7jD0qO6kT5bK5bQ4eR8fE1xP7hL2vK/sqlite3.dll
- http://88.##9.171.79/aN7jD0qO6kT5bK5bQ4eR8fE1xP7hL2vK/nss3.dll
Запросы HTTP POST
- http://88.##9.171.79/
Другие
- 'cd#.##scordapp.com':443
UDP
- DNS ASK cd#.##scordapp.com
Другое
Создает и запускает на исполнение
- '%TEMP%\wintools.exe'
- '%TEMP%\is-bo9de.tmp\wintools.tmp' /SL5="$13022C,1876185,131584,%TEMP%\wintools.exe"
- '%APPDATA%\cmd32.exe'
- '%APPDATA%\cmd32.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /sc minute /mo 1 /tn "Nafdfnasia" /tr "'%APPDATA%\cmd32.exe'" /f
- '%WINDIR%\syswow64\cmd.exe' /c copy "<Полный путь к файлу>" "%APPDATA%\cmd32.exe"
- '%WINDIR%\syswow64\schtasks.exe' /create /sc minute /mo 1 /tn "Nafdfnasia" /tr "'%APPDATA%\cmd32.exe'" /f
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe'
- '<SYSTEM32>\taskeng.exe' {211F2682-239B-43D5-99A6-21F9B805D0FC} S-1-5-21-1960123792-2022915161-3775307078-1001:phlvatx\user:Interactive:[1]
- '%WINDIR%\syswow64\cmd.exe' /c copy "%APPDATA%\cmd32.exe" "%APPDATA%\cmd32.exe"
