Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
следующие пользовательские процессы:
- <Имя файла>.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- D:\users\user\appdata\local\google\chrome\user data\default\cookies
- D:\users\user\appdata\local\google\chrome\user data\default\login data
- D:\users\user\appdata\local\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- D:\users\user\appdata\local\temp\mz_etilqs_tyejfo1ebncmgnr
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\94308059b57b3142e455b38a6eb92015
- D:\users\user\appdata\local\temp\cab8122.tmp
- D:\users\user\appdata\local\temp\tar8123.tmp
- D:\users\user\appdata\local\temp\cab8385.tmp
- D:\users\user\appdata\local\temp\tar8386.tmp
- D:\users\user\appdata\local\temp\cab86b2.tmp
- D:\users\user\appdata\local\temp\tar86b3.tmp
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\edc238bff48a31d55a97e1e93892934b_c31b2498754e340573f1336de607d619
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\edc238bff48a31d55a97e1e93892934b_c31b2498754e340573f1336de607d619
- D:\users\user\appdata\local\temp\cab8869.tmp
- D:\users\user\appdata\local\temp\tar886a.tmp
- D:\programdata\vcruntime140.dll
- D:\programdata\softokn3.dll
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\dfdc36497a0baee2972009ee6deccc06c2e352c6
- D:\programdata\nss3.dll
- D:\programdata\mozglue.dll
- D:\programdata\freebl3.dll
- D:\programdata\76989400265110177287230990
- D:\programdata\62795717216241451699515481
- D:\programdata\88269829469688005826508592
- D:\programdata\61950927909285140160955235
- D:\programdata\21539722622780202377447470
- D:\programdata\47882951776127856506250491
- D:\programdata\33890340727256130138436174
- D:\programdata\58164572960773704375547095
- D:\programdata\11338832086624444696304012
- D:\programdata\33600350961292393455471716
- D:\windows\appcompat\programs\recentfilecache.bcf
- D:\users\user\appdata\local\temp\tar76d5.tmp
- D:\users\user\appdata\local\temp\7762.exe
- D:\users\user\appdata\local\temp\cab76d4.tmp
- D:\users\user\appdata\local\temp\62b9.exe
- D:\users\user\appdata\local\temp\585c.bat
- D:\system volume information\syscache.hve
- D:\windows\system32\config\software.log1
- D:\windows\system32\config\software
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\storage\permanent\chrome\idb\3870112724rsegmnoittet-es.sqlite-wal
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\storage\permanent\chrome\idb\3870112724rsegmnoittet-es.sqlite
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\cf462cc01526cf7bccc759acb08bff8803c0f8af
- D:\users\user\appdata\local\temp\mz_etilqs_tx1c4agbbzjqrla
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\c7511574f457706090c16c56692a1597f9a22001
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\security_state\data.safe.bin
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\7330b218fe46e63c30e077c3456a7239baaead12
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\a4bc0c99327d7691ff360f07d11373b5791eb30c
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\9c571ec4d1abdf04dec3542cba1cbcdb49632bf7
- D:\users\user\ntuser.dat.log1
- D:\windows\system32\winevt\logs\microsoft-windows-wer-diag%4operational.evtx
- D:\programdata\msvcp140.dll
- D:\users\user\ntuser.dat
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\2cb84dd9abb4e1485d83397c59b193094e1abfc7
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\39d80535a21e286b3c662765c5f09aceb927e77d
- D:\users\user\appdata\local\microsoft\windows\usrclass.dat.log1
- D:\users\user\appdata\local\microsoft\windows\usrclass.dat
- D:\windows\system32\winevt\logs\system.evtx
- D:\windows\system32\winevt\logs\security.evtx
- D:\windows\system32\config\system.log1
- D:\windows\system32\config\system
- D:\users\user\appdata\roaming\grevsvh
- D:\windows\system32\tasks\firefox default browser agent 58dfb3b57833e2d7
- D:\windows\system32\winevt\logs\microsoft-windows-networkprofile%4operational.evtx
- D:\windows\system32\winevt\logs\application.evtx
- D:\windows\serviceprofiles\localservice\appdata\local\lastalive0.dat
- D:\system volume information\syscache.hve.log1
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\bc9a334d14ae8d5cdcf1f5f5128ba1f4cdd083ac
- D:\windows\system32\winevt\logs\microsoft-windows-fault-tolerant-heap%4operational.evtx
Присваивает атрибут 'скрытый' для следующих файлов
- D:\users\user\appdata\roaming\grevsvh
Удаляет следующие файлы
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\storage\permanent\chrome\idb\3870112724rsegmnoittet-es.sqlite-wal
- D:\programdata\11338832086624444696304012
- D:\programdata\58164572960773704375547095
- D:\programdata\33890340727256130138436174
- D:\programdata\47882951776127856506250491
- D:\programdata\21539722622780202377447470
- D:\programdata\61950927909285140160955235
- D:\programdata\88269829469688005826508592
- D:\programdata\62795717216241451699515481
- D:\programdata\76989400265110177287230990
- D:\users\user\appdata\local\temp\tar886a.tmp
- D:\users\user\appdata\local\temp\cab8869.tmp
- D:\users\user\appdata\local\temp\tar86b3.tmp
- D:\users\user\appdata\local\temp\cab86b2.tmp
- D:\users\user\appdata\local\temp\tar8386.tmp
- D:\users\user\appdata\local\temp\cab8385.tmp
- D:\users\user\appdata\local\temp\tar8123.tmp
- D:\users\user\appdata\local\temp\cab8122.tmp
- D:\users\user\appdata\local\temp\tar76d5.tmp
- D:\users\user\appdata\local\temp\cab76d4.tmp
- D:\programdata\33600350961292393455471716
- D:\users\user\appdata\local\temp\7762.exe
Подменяет следующие файлы
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\storage\permanent\chrome\idb\3870112724rsegmnoittet-es.sqlite-wal
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\prefs-1.js
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\prefs.js
- D:\programdata\21539722622780202377447470
- D:\programdata\33600350961292393455471716
Сетевая активность
Подключается к
- 'ho####ile-host6.com':80
- 'ua##y.top':80
- 'cd#.##scordapp.com':443
- 'cd#####.anonfiles.com':443
- '19#.#49.189.91':80
- '45.##.157.136':80
- 't.#e':443
- 'hu##rsi.com':80
- 'st####ommunity.com':443
- '80.#6.79.86':80
- '11#.#02.6.237':80
TCP
Запросы HTTP GET
- http://ua##y.top/dl/buildz.exe
- http://45.##.157.136/shared/Ruzvelt.exe
- http://hu##rsi.com/dl/6523.exe
- http://11#.#02.6.237/
- http://11#.#02.6.237/download.zip
Запросы HTTP POST
- http://ho####ile-host6.com/
Другие
- 'localhost':49158
- 'fi#####.###tings.services.mozilla.com':443
- '34.##0.144.191':443
- 'cd#.##scordapp.com':443
- 'cd#####.anonfiles.com':443
- 't.#e':443
- 'st####ommunity.com':443
UDP
- DNS ASK ho####ile-host6.com
- DNS ASK ua##y.top
- DNS ASK cd#.##scordapp.com
- DNS ASK cd#####.anonfiles.com
- DNS ASK 5l##k.net
- DNS ASK t.#e
- DNS ASK hu##rsi.com
- DNS ASK st####ommunity.com
Другое
Ищет следующие окна
- ClassName: 'SystemTray_Main' WindowName: ''
Создает и запускает на исполнение
- 'D:\users\user\appdata\local\temp\62b9.exe'
- 'D:\users\user\appdata\local\temp\7762.exe'
- 'D:\windows\system32\cmd.exe' /c ""C:\Users\user\AppData\Local\Temp\585C.bat" "' (со скрытым окном)
- 'D:\windows\syswow64\werfault.exe' -u -p 1144 -s 1668' (со скрытым окном)
- 'D:\users\user\appdata\local\temp\ixp000.tmp\za881207.exe' ' (со скрытым окном)
