Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- legacysurvival.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsb7704.tmp\system.dll
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\el.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\en-gb.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\en-us.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\es-419.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\es.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\et.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\da.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\de.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\fa.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\fr.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\gu.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\he.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\hi.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\hr.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\hu.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\fi.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\fil.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\it.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\id.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\bn.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\legacysurvival.exe
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\libegl.dll
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\libglesv2.dll
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\license.electron.txt
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\licenses.chromium.html
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\ca.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\ffmpeg.dll
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\cs.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\resources.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\vk_swiftshader_icd.json
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\vulkan-1.dll
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\am.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\ar.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\bg.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\snapshot_blob.bin
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\v8_context_snapshot.bin
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\vk_swiftshader.dll
- %TEMP%\nsb7704.tmp\7z-out\locales\ms.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\ja.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\tr.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\vi.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\zh-cn.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\zh-tw.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\resources\app.asar
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\resources\elevate.exe
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\th.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\resources\app.asar.unpacked\node_modules\take-cam\directshowlib-2005.dll
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\uk.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\resources\app.asar.unpacked\node_modules\take-cam\prey-webcam.exe
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\swiftshader\libegl.dll
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\swiftshader\libglesv2.dll
- %TEMP%\nsb7704.tmp\stdutils.dll
- %TEMP%\4b0abff5-5eb7-42f2-9dd8-9366b14834ba.tmp.node
- %TEMP%\8fc48761-b3e6-484e-beb6-2b433b46e975.tmp.node
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\resources\app.asar.unpacked\node_modules\take-cam\package.json
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\te.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\resources\app.asar.unpacked\node_modules\take-cam\snapshot.exe
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\ta.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\sw.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\ko.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\lv.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\ml.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\mr.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\ms.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\nb.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\nl.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\pl.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\lt.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\pt-br.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\ro.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\ru.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\sk.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\sl.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\sr.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\sv.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\d3dcompiler_47.dll
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\pt-pt.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\icudtl.dat
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\chrome_200_percent.pak
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\chrome_100_percent.pak
- %TEMP%\nsb7704.tmp\7z-out\vulkan-1.dll
- %TEMP%\nsb7704.tmp\7z-out\locales\fil.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\fr.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\gu.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\he.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\hi.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\et.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\es-419.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\fi.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\hr.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\ja.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\kn.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\ko.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\lt.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\lv.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\hu.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\id.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\it.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\es.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\en-us.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\ml.pak
- %TEMP%\nsb7704.tmp\nsis7z.dll
- %TEMP%\nsb7704.tmp\7z-out\chrome_100_percent.pak
- %TEMP%\nsb7704.tmp\7z-out\chrome_200_percent.pak
- %TEMP%\nsb7704.tmp\7z-out\icudtl.dat
- %TEMP%\nsb7704.tmp\7z-out\license.electron.txt
- %TEMP%\nsb7704.tmp\7z-out\licenses.chromium.html
- %TEMP%\nsb7704.tmp\7z-out\locales\am.pak
- %TEMP%\nsb7704.tmp\app-64.7z
- %TEMP%\nsb7704.tmp\7z-out\locales\ar.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\bn.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\ca.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\cs.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\da.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\de.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\el.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\en-gb.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\bg.pak
- %APPDATA%\script\fontlookuptablecache\font_unique_name_table.pb
- %TEMP%\2x4fknql5dildfaqvvauzyaf9pl\locales\kn.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\mr.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\pl.pak
- %TEMP%\nsb7704.tmp\7z-out\v8_context_snapshot.bin
- %TEMP%\nsb7704.tmp\7z-out\vk_swiftshader_icd.json
- %TEMP%\nsb7704.tmp\7z-out\d3dcompiler_47.dll
- %TEMP%\nsb7704.tmp\7z-out\ffmpeg.dll
- %TEMP%\nsb7704.tmp\7z-out\legacysurvival.exe
- %TEMP%\nsb7704.tmp\7z-out\resources\app.asar
- %TEMP%\nsb7704.tmp\7z-out\libegl.dll
- %TEMP%\nsb7704.tmp\7z-out\snapshot_blob.bin
- %TEMP%\nsb7704.tmp\7z-out\resources\app.asar.unpacked\node_modules\take-cam\directshowlib-2005.dll
- %TEMP%\nsb7704.tmp\7z-out\resources\app.asar.unpacked\node_modules\take-cam\snapshot.exe
- %TEMP%\nsb7704.tmp\7z-out\resources\elevate.exe
- %TEMP%\nsb7704.tmp\7z-out\swiftshader\libegl.dll
- %TEMP%\nsb7704.tmp\7z-out\swiftshader\libglesv2.dll
- %TEMP%\nsb7704.tmp\7z-out\vk_swiftshader.dll
- %TEMP%\nsb7704.tmp\7z-out\libglesv2.dll
- %TEMP%\nsb7704.tmp\7z-out\locales\fa.pak
- %TEMP%\nsb7704.tmp\7z-out\resources\app.asar.unpacked\node_modules\take-cam\prey-webcam.exe
- %TEMP%\nsb7704.tmp\7z-out\resources\app.asar.unpacked\node_modules\take-cam\package.json
- %TEMP%\nsb7704.tmp\7z-out\resources.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\zh-tw.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\pt-br.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\pt-pt.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\ro.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\ru.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\sk.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\sl.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\nl.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\sr.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\sw.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\ta.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\te.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\th.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\tr.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\uk.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\vi.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\sv.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\zh-cn.pak
- %TEMP%\nsb7704.tmp\7z-out\locales\nb.pak
- %APPDATA%\script\476029c5-e2cb-4bfc-a321-62e79aaa5edb.tmp
Перемещает следующие файлы
- %APPDATA%\script\476029c5-e2cb-4bfc-a321-62e79aaa5edb.tmp в %APPDATA%\script\local state
Сетевая активность
Подключается к
- 'ip##fo.io':443
- 'dn#.google':443
- 'pk#.goog':80
TCP
Запросы HTTP GET
- http://pk#.goog/gsr1/gsr1.crt
Другие
- 'ip##fo.io':443
- 'dn#.google':443
UDP
- DNS ASK ip##fo.io
- DNS ASK dn#.google
- DNS ASK pk#.goog
Другое
Ищет следующие окна
- ClassName: '#32770' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\2x4fknql5dildfaqvvauzyaf9pl\legacysurvival.exe'
- '%TEMP%\2x4fknql5dildfaqvvauzyaf9pl\legacysurvival.exe' --type=gpu-process --user-data-dir="%APPDATA%\script" --gpu-preferences=UAAAAAAAAADgAAAYAAAAAAAAAAAAAAAAAABgAAAAAAAwAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAEgAAAAAAAAASAAAAAAAAAAYAAAAAgAAABAAA...
- '%TEMP%\2x4fknql5dildfaqvvauzyaf9pl\legacysurvival.exe' --type=utility --utility-sub-type=network.mojom.NetworkService --lang=en-US --service-sandbox-type=none --user-data-dir="%APPDATA%\script" --mojo-platform-channel-handle=1596 --field-trial-hand...
- '<SYSTEM32>\cmd.exe' /d /s /c "wmic logicaldisk get size"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "wmic computersystem get totalphysicalmemory | more +1"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "wmic csproduct get uuid"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "echo %NUMBER_OF_PROCESSORS%"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "wmic OS get caption, osarchitecture | more +1"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "wmic cpu get name | more +1"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "wmic PATH Win32_VideoController get name | more +1"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell Get-ItemPropertyValue -Path 'HKLM:SOFTWARE\Microsoft\Windows NT\CurrentVersion\SoftwareProtectionPlatform' -Name BackupProductKeyDefault"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /d /s /c "wmic logicaldisk get size"
- '<SYSTEM32>\cmd.exe' /d /s /c "wmic computersystem get totalphysicalmemory | more +1"
- '<SYSTEM32>\cmd.exe' /d /s /c "wmic csproduct get uuid"
- '<SYSTEM32>\cmd.exe' /d /s /c "echo %NUMBER_OF_PROCESSORS%"
- '<SYSTEM32>\wbem\wmic.exe' logicaldisk get size
- '<SYSTEM32>\cmd.exe' /d /s /c "wmic OS get caption, osarchitecture | more +1"
- '<SYSTEM32>\wbem\wmic.exe' computersystem get totalphysicalmemory
- '<SYSTEM32>\more.com' +1
- '<SYSTEM32>\wbem\wmic.exe' OS get caption, osarchitecture
- '<SYSTEM32>\wbem\wmic.exe' csproduct get uuid
- '<SYSTEM32>\cmd.exe' /d /s /c "wmic cpu get name | more +1"
- '<SYSTEM32>\wbem\wmic.exe' cpu get name
- '<SYSTEM32>\cmd.exe' /d /s /c "wmic PATH Win32_VideoController get name | more +1"
- '<SYSTEM32>\wbem\wmic.exe' PATH Win32_VideoController get name
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell Get-ItemPropertyValue -Path 'HKLM:SOFTWARE\Microsoft\Windows NT\CurrentVersion\SoftwareProtectionPlatform' -Name BackupProductKeyDefault"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Get-ItemPropertyValue -Path 'HKLM:SOFTWARE\Microsoft\Windows NT\CurrentVersion\SoftwareProtectionPlatform' -Name BackupProductKeyDefault
