Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im git.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\e83c.tmp\e84c.tmp\e84d.bat
- %APPDATA%\wint\dtg.exe
- %APPDATA%\wint\dtg.runtimeconfig.json
- %APPDATA%\wint\invrun.exe
- %APPDATA%\wint\microsoft.extensions.dependencyinjection.abstractions.dll
- %APPDATA%\wint\microsoft.extensions.dependencyinjection.dll
- %APPDATA%\wint\microsoft.win32.primitives.dll
- %APPDATA%\wint\.git\objects\pack\pack_git2_a0idx.lock
- %APPDATA%\wint\newtonsoft.json.dll
- %APPDATA%\wint\system.collections.immutable.dll
- %APPDATA%\wint\system.diagnostics.diagnosticsource.dll
- %APPDATA%\wint\system.interactive.async.dll
- %APPDATA%\wint\system.net.http.dll
- %APPDATA%\wint\system.net.sockets.dll
- %APPDATA%\wint\wintroy.exe
- %APPDATA%\wint\dtg.deps.json
- %APPDATA%\wint\dtg.dll
- %APPDATA%\wint\discord.net.websocket.dll
- %APPDATA%\wint\discord.net.webhook.dll
- %APPDATA%\wint\discord.net.rest.dll
- <Текущая директория>\git\lib\win32\x86\git2-106a5f2.dll
- %APPDATA%\wint\.git\description
- %APPDATA%\wint\.git\hooks\readme.sample
- %APPDATA%\wint\.git\info\exclude
- %APPDATA%\wint\.git\config.lock
- %APPDATA%\wint\.git\head.lock
- %APPDATA%\wint\wintroy.exe.config
- %APPDATA%\wint\run.exe
- %APPDATA%\wint\.git\objects\pack\pack_git2_a00988
- %APPDATA%\wint\.git\refs\remotes\origin\main.lock
- %APPDATA%\wint\.git\logs\refs\heads\main
- %APPDATA%\wint\.git\refs\heads\main.lock
- %APPDATA%\wint\.git\logs\head
- %APPDATA%\wint\discord.net.commands.dll
- %APPDATA%\wint\discord.net.core.dll
- <Текущая директория>\git\git.exe
- %APPDATA%\wint\.git\logs\refs\remotes\origin\main
- %APPDATA%\wint\.git\index.lock
Удаляет следующие файлы
- <Текущая директория>\git\git.exe
- %TEMP%\e83c.tmp\e84c.tmp\e84d.bat
Перемещает следующие файлы
- %APPDATA%\wint\.git\config.lock в %APPDATA%\wint\.git\config
- %APPDATA%\wint\.git\head.lock в %APPDATA%\wint\.git\head
- %APPDATA%\wint\.git\objects\pack\pack_git2_a0idx.lock в %APPDATA%\wint\.git\objects\pack\pack-ee846910a8500d199967467bb2cfd9fbd25356cc.idx
- %APPDATA%\wint\.git\objects\pack\pack_git2_a00988 в %APPDATA%\wint\.git\objects\pack\pack-ee846910a8500d199967467bb2cfd9fbd25356cc.pack
- %APPDATA%\wint\.git\refs\remotes\origin\main.lock в %APPDATA%\wint\.git\refs\remotes\origin\main
- %APPDATA%\wint\.git\refs\heads\main.lock в %APPDATA%\wint\.git\refs\heads\main
- %APPDATA%\wint\.git\index.lock в %APPDATA%\wint\.git\index
Подменяет следующие файлы
- %APPDATA%\wint\.git\config.lock
- %APPDATA%\wint\.git\config
- %APPDATA%\wint\.git\head.lock
Сетевая активность
Подключается к
- 'gi##ub.com':443
TCP
Другие
- 'gi##ub.com':443
UDP
- DNS ASK gi##ub.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<Текущая директория>\git\git.exe' %APPDATA%/WINT\
- '%APPDATA%\wint\invrun.exe'
- '%APPDATA%\wint\wintroy.exe'
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\E83C.tmp\E84C.tmp\E84D.bat <Полный путь к файлу>"' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im git.exe' (со скрытым окном)
- '%APPDATA%\wint\wintroy.exe' ' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\E83C.tmp\E84C.tmp\E84D.bat <Полный путь к файлу>"
- '<SYSTEM32>\reg.exe' ADD HKEY_CURRENT_USER\SOFTWARE\Wint /v inst /t REG_SZ /d <Полный путь к файлу> /f
- '<SYSTEM32>\reg.exe' ADD HKEY_CURRENT_USER\SOFTWARE\Wint /v dcbt /t REG_SZ /d V4T/R3x5SDNWOubtZNEfEn/pzC2m7EptPVgskeW/IghjH2P1w3Lcm9MjIB+ZcR8ngWiyI1YOD69WHzjVJ9uATGjutdrylBfHwUF+EPAgre4= /f
