Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Ovgxkcit' = '"%APPDATA%\Nopjhdee\Ovgxkcit.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Rnjeh' = '"%APPDATA%\Maucly\Rnjeh.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\telemetry logging
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%low\nss3.dll
- %LOCALAPPDATA%low\53zs20c1z3vf
- %LOCALAPPDATA%low\bp88my7vq1gd
- %LOCALAPPDATA%low\jmr7b8ii0a0f
- %LOCALAPPDATA%low\7bzcwgo575fo
- %LOCALAPPDATA%low\b6oz0th5v9m6
- %LOCALAPPDATA%low\qskf9vtyk1dm
- %LOCALAPPDATA%low\efqa2tz95l7m
- %APPDATA%\fsscbas\vbfxs.dat
- %APPDATA%\xoye4foi.exe
- %APPDATA%\auexsl1y.exe
- %APPDATA%\xyc5f4b5.exe
- %APPDATA%\zsqzefc3.exe
- %APPDATA%\nopjhdee\ovgxkcit.exe
- %APPDATA%\maucly\rnjeh.exe
- %LOCALAPPDATA%low\vwh6u79qgg82
- %LOCALAPPDATA%low\lqbbo2p3y6bi
- %LOCALAPPDATA%low\hbn9ji0swihh
- %LOCALAPPDATA%low\grvzc989ul54
- %LOCALAPPDATA%low\msvcp140.dll
- %LOCALAPPDATA%low\vcruntime140.dll
- %LOCALAPPDATA%low\mozglue.dll
- %LOCALAPPDATA%low\freebl3.dll
- %LOCALAPPDATA%low\softokn3.dll
- %LOCALAPPDATA%low\sqlite3.dll
- %LOCALAPPDATA%low\wfzxo365ic6z
- %LOCALAPPDATA%low\kd4u7vzal6p0
- %LOCALAPPDATA%low\dx6146af2uo7
- %LOCALAPPDATA%low\qci274hte4uy
- %LOCALAPPDATA%low\khdyz159bjou
- %LOCALAPPDATA%low\khdyz159bjou-shm
- %LOCALAPPDATA%low\k2boh3iejz8o
- %LOCALAPPDATA%low\qeyqlf56ifgh
- %LOCALAPPDATA%low\kd4u7vzal6p0-shm
- %APPDATA%\microsoft\protect\oobeldr.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\fsscbas\vbfxs.dat
Удаляет следующие файлы
- %LOCALAPPDATA%low\grvzc989ul54
- %LOCALAPPDATA%low\efqa2tz95l7m
- %LOCALAPPDATA%low\lqbbo2p3y6bi
- %LOCALAPPDATA%low\qskf9vtyk1dm
- %LOCALAPPDATA%low\b6oz0th5v9m6
- %LOCALAPPDATA%low\7bzcwgo575fo
- %LOCALAPPDATA%low\jmr7b8ii0a0f
- %LOCALAPPDATA%low\bp88my7vq1gd
- %LOCALAPPDATA%low\53zs20c1z3vf
- %LOCALAPPDATA%low\vwh6u79qgg82
- %LOCALAPPDATA%low\hbn9ji0swihh
- %LOCALAPPDATA%low\kd4u7vzal6p0
- %LOCALAPPDATA%low\kd4u7vzal6p0-shm
- %LOCALAPPDATA%low\qeyqlf56ifgh
- %LOCALAPPDATA%low\k2boh3iejz8o
- %LOCALAPPDATA%low\khdyz159bjou
- %LOCALAPPDATA%low\khdyz159bjou-shm
- %LOCALAPPDATA%low\qci274hte4uy
- %LOCALAPPDATA%low\dx6146af2uo7
- %LOCALAPPDATA%low\wfzxo365ic6z
- %LOCALAPPDATA%low\nss3.dll
- %LOCALAPPDATA%low\sqlite3.dll
Сетевая активность
Подключается к
- '19#.#06.191.150':80
- 'pa##o.ac.ug':80
- 'ni###uve.ac.ug':65214
- '14#.#0.76.35':24317
TCP
Запросы HTTP GET
- http://19#.#06.191.150/aN7jD0qO6kT5bK5bQ4eR8fE1xP7hL2vK/msvcp140.dll
- http://19#.#06.191.150/aN7jD0qO6kT5bK5bQ4eR8fE1xP7hL2vK/vcruntime140.dll
- http://19#.#06.191.150/aN7jD0qO6kT5bK5bQ4eR8fE1xP7hL2vK/mozglue.dll
- http://19#.#06.191.150/aN7jD0qO6kT5bK5bQ4eR8fE1xP7hL2vK/freebl3.dll
- http://19#.#06.191.150/aN7jD0qO6kT5bK5bQ4eR8fE1xP7hL2vK/softokn3.dll
- http://19#.#06.191.150/aN7jD0qO6kT5bK5bQ4eR8fE1xP7hL2vK/sqlite3.dll
- http://19#.#06.191.150/aN7jD0qO6kT5bK5bQ4eR8fE1xP7hL2vK/nss3.dll
- http://pa##o.ac.ug/azna.exe
- http://pa##o.ac.ug/pm.exe
- http://pa##o.ac.ug/ccc.exe
- http://pa##o.ac.ug/rc.exe
Запросы HTTP POST
- http://19#.#06.191.150/
Другие
- '14#.#0.76.35':24317
UDP
- DNS ASK pa##o.ac.ug
- DNS ASK ni###uve.ac.ug
- DNS ASK ka###ala.ac.ug
- DNS ASK tu###saa.ac.ug
- DNS ASK pa###aha.ac.ug
Другое
Создает и запускает на исполнение
- '%APPDATA%\xoye4foi.exe'
- '%APPDATA%\auexsl1y.exe'
- '%APPDATA%\xyc5f4b5.exe'
- '%APPDATA%\zsqzefc3.exe'
- '%APPDATA%\microsoft\protect\oobeldr.exe'
- '%APPDATA%\xoye4foi.exe' ' (со скрытым окном)
- '%APPDATA%\auexsl1y.exe' ' (со скрытым окном)
- '%APPDATA%\xyc5f4b5.exe' ' (со скрытым окном)
- '%APPDATA%\zsqzefc3.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c powershell -ENC cwBlAHQALQBtAHAAcAByAGUAZgBlAHIAZQBuAGMAZQAgAC0AZQB4AGMAbAB1AHMAaQBvAG4AcABhAHQAaAAgAEMAOgBcAA==' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ENC UwB0AGEAcgB0AC0AUwBsAGUAZQBwACAALQBTAGUAYwBvAG4AZABzACAAMgAwAA==' (со скрытым окном)
- '%APPDATA%\microsoft\protect\oobeldr.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c powershell -ENC cwBlAHQALQBtAHAAcAByAGUAZgBlAHIAZQBuAGMAZQAgAC0AZQB4AGMAbAB1AHMAaQBvAG4AcABhAHQAaAAgAEMAOgBcAA==
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ENC cwBlAHQALQBtAHAAcAByAGUAZgBlAHIAZQBuAGMAZQAgAC0AZQB4AGMAbAB1AHMAaQBvAG4AcABhAHQAaAAgAEMAOgBcAA==
- '%WINDIR%\syswow64\schtasks.exe' /create /F /sc minute /mo 1 /tn "Telemetry Logging" /tr "%APPDATA%\Microsoft\Protect\oobeldr.exe"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ENC UwB0AGEAcgB0AC0AUwBsAGUAZQBwACAALQBTAGUAYwBvAG4AZABzACAAMgAwAA==
- '<SYSTEM32>\taskeng.exe' {28584F42-44D2-4F73-8B7C-61F9AD619B94} S-1-5-21-1960123792-2022915161-3775307078-1001:tiivjoelfcz\user:Interactive:[1]
