Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\caspol.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\caspol.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\build.exe
- %ALLUSERSPROFILE%\18443464794714426230631179-shm
- %ALLUSERSPROFILE%\18443464794714426230631179
- %ALLUSERSPROFILE%\22635975962685150800454697-shm
- %ALLUSERSPROFILE%\22635975962685150800454697
- %ALLUSERSPROFILE%\15997692113684970383134379
- %ALLUSERSPROFILE%\04605974030018022735946777
- %ALLUSERSPROFILE%\80332834986670578606155756
- %ALLUSERSPROFILE%\35702421529021353396927294
- %ALLUSERSPROFILE%\08947681290016941518846671
- %ALLUSERSPROFILE%\11038184569987475998462999
- %ALLUSERSPROFILE%\01766664394419548327372495
- %ALLUSERSPROFILE%\76493544241971174191361374
- %ALLUSERSPROFILE%\52920312097454410052370352
- %ALLUSERSPROFILE%\66878515452389537959623018-shm
- %ALLUSERSPROFILE%\66878515452389537959623018
- %ALLUSERSPROFILE%\72050008621251263449346356
- %ALLUSERSPROFILE%\11724247259708005313354719-shm
- %ALLUSERSPROFILE%\11724247259708005313354719
- %ALLUSERSPROFILE%\freebl3.dll
- %ALLUSERSPROFILE%\mozglue.dll
- %ALLUSERSPROFILE%\msvcp140.dll
- %ALLUSERSPROFILE%\nss3.dll
- %ALLUSERSPROFILE%\softokn3.dll
- %ALLUSERSPROFILE%\vcruntime140.dll
- %TEMP%\photo_2022-10-19_12-03-07.jpg
- %ALLUSERSPROFILE%\53208014022720938127712793
- %ALLUSERSPROFILE%\79751224175267682366723704
Удаляет следующие файлы
- %ALLUSERSPROFILE%\11724247259708005313354719-shm
- %ALLUSERSPROFILE%\53208014022720938127712793
- %ALLUSERSPROFILE%\18443464794714426230631179
- %ALLUSERSPROFILE%\18443464794714426230631179-shm
- %ALLUSERSPROFILE%\22635975962685150800454697
- %ALLUSERSPROFILE%\22635975962685150800454697-shm
- %ALLUSERSPROFILE%\15997692113684970383134379
- %ALLUSERSPROFILE%\04605974030018022735946777
- %ALLUSERSPROFILE%\80332834986670578606155756
- %ALLUSERSPROFILE%\79751224175267682366723704
- %ALLUSERSPROFILE%\35702421529021353396927294
- %ALLUSERSPROFILE%\11038184569987475998462999
- %ALLUSERSPROFILE%\01766664394419548327372495
- %ALLUSERSPROFILE%\76493544241971174191361374
- %ALLUSERSPROFILE%\52920312097454410052370352
- %ALLUSERSPROFILE%\66878515452389537959623018
- %ALLUSERSPROFILE%\66878515452389537959623018-shm
- %ALLUSERSPROFILE%\72050008621251263449346356
- %ALLUSERSPROFILE%\11724247259708005313354719
- %ALLUSERSPROFILE%\08947681290016941518846671
- %TEMP%\build.exe
Подменяет следующие файлы
- %ALLUSERSPROFILE%\76493544241971174191361374
- %ALLUSERSPROFILE%\08947681290016941518846671
- %ALLUSERSPROFILE%\80332834986670578606155756
- %ALLUSERSPROFILE%\15997692113684970383134379
Сетевая активность
Подключается к
- 't.#e':443
- 'ne###ulture.de':443
- '19#.#01.252.190':80
TCP
Запросы HTTP GET
- http://19#.#01.252.190/130247794967.zip
- http://19#.#01.252.190/1735
Другие
- 't.#e':443
- 'ne###ulture.de':443
UDP
- DNS ASK t.#e
- DNS ASK ne###ulture.de
Другое
Создает и запускает на исполнение
- '%TEMP%\build.exe'
- '%WINDIR%\syswow64\cmd.exe' /c timeout /t 6 & del /f /q "%TEMP%\build.exe" & exit' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\caspol.exe'
- '%WINDIR%\syswow64\cmd.exe' /c timeout /t 6 & del /f /q "%TEMP%\build.exe" & exit
- '%WINDIR%\syswow64\timeout.exe' /t 6
