Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\soundpad_setup.exe
- %ProgramFiles(x86)%\leppsoft\soundpad\sounds\notify\default.m4a
- %ProgramFiles(x86)%\leppsoft\soundpad\sounds\notify\disabled.m4a
- %ProgramFiles(x86)%\leppsoft\soundpad\sounds\notify\enabled.m4a
- %ProgramFiles(x86)%\leppsoft\soundpad\sounds\notify\hotkeys-disabled.m4a
- %ProgramFiles(x86)%\leppsoft\soundpad\sounds\notify\hotkeys-enabled.m4a
- %ProgramFiles(x86)%\leppsoft\soundpad\sounds\notify\microphone.m4a
- %ProgramFiles(x86)%\leppsoft\soundpad\sounds\notify\recording-finished.m4a
- %ProgramFiles(x86)%\leppsoft\soundpad\sounds\notify\recording.m4a
- %ProgramFiles(x86)%\leppsoft\soundpad\sounds\notify\speakers.m4a
- %ProgramFiles(x86)%\leppsoft\soundpad\sounds\scream.mp3
- %ProgramFiles(x86)%\leppsoft\soundpad\languages\nb_no\translation.mo
- %ProgramFiles(x86)%\leppsoft\soundpad\sounds\white_noise.mp3
- %ProgramFiles(x86)%\leppsoft\soundpad\steam_api64.dll
- %TEMP%\bofupmjwusfvsnibdjee\unrerstbvq.blcqvcuqr
- %ProgramFiles(x86)%\leppsoft\soundpad\unitefxcontrol.dll
- %ProgramFiles(x86)%\leppsoft\soundpad\unitefxupdate.dll
- %HOMEPATH%\desktop\soundpad.lnk
- %TEMP%\bofupmjwusfvsnibdjee\lxnonhkjbu.qqwlxqeqo
- %TEMP%\bofupmjwusfvsnibdjee\crsfrpqodocymysnrrj.dwfnqlrdccbjirek
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %ProgramFiles(x86)%\leppsoft\soundpad\sounds\notify\auto-keys-disabled.m4a
- %ProgramFiles(x86)%\leppsoft\soundpad\sounds\notify\auto-keys-enabled.m4a
- %ProgramFiles(x86)%\leppsoft\soundpad\sounds\firework.mp3
- %ProgramFiles(x86)%\leppsoft\soundpad\sounds\cue.mp3
- %ProgramFiles(x86)%\leppsoft\soundpad\sounds\ba dum tss.mp3
- %TEMP%\wccnativeupdate.exe
- %ProgramFiles(x86)%\leppsoft\soundpad\installscript.vdf
- %ProgramFiles(x86)%\leppsoft\soundpad\languages\cs\translation.mo
- %ProgramFiles(x86)%\leppsoft\soundpad\languages\da\translation.mo
- %ProgramFiles(x86)%\leppsoft\soundpad\languages\de\translation.mo
- %ProgramFiles(x86)%\leppsoft\soundpad\languages\es_es\translation.mo
- %ProgramFiles(x86)%\leppsoft\soundpad\languages\fi\translation.mo
- %ProgramFiles(x86)%\leppsoft\soundpad\languages\fr\translation.mo
- %ProgramFiles(x86)%\leppsoft\soundpad\languages\it\translation.mo
- %ProgramFiles(x86)%\leppsoft\soundpad\languages\ja\translation.mo
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- %ProgramFiles(x86)%\leppsoft\soundpad\steamconfig.ini
- %ProgramFiles(x86)%\leppsoft\soundpad\languages\ko\translation.mo
- %ProgramFiles(x86)%\leppsoft\soundpad\languages\pl\translation.mo
- %ProgramFiles(x86)%\leppsoft\soundpad\languages\pt_br\translation.mo
- %ProgramFiles(x86)%\leppsoft\soundpad\languages\ru\translation.mo
- %ProgramFiles(x86)%\leppsoft\soundpad\languages\sv\translation.mo
- %ProgramFiles(x86)%\leppsoft\soundpad\languages\th\translation.mo
- %ProgramFiles(x86)%\leppsoft\soundpad\languages\tr\translation.mo
- %ProgramFiles(x86)%\leppsoft\soundpad\languages\uk\translation.mo
- %ProgramFiles(x86)%\leppsoft\soundpad\languages\zh_cn\translation.mo
- %ProgramFiles(x86)%\leppsoft\soundpad\profile\cracked by ray_black\steamuserid.cfg
- %ProgramFiles(x86)%\leppsoft\soundpad\soundpad.exe
- %TEMP%\lrucache.exe
- %ProgramFiles(x86)%\leppsoft\soundpad\languages\nl\translation.mo
- %TEMP%\bofupmjwusfvsnibdjee\mctcnkryorrncmvtinnj.ttkc
Удаляет следующие файлы
- %TEMP%\bofupmjwusfvsnibdjee\unrerstbvq.blcqvcuqr
- %TEMP%\bofupmjwusfvsnibdjee\lxnonhkjbu.qqwlxqeqo
- %TEMP%\bofupmjwusfvsnibdjee\crsfrpqodocymysnrrj.dwfnqlrdccbjirek
- %TEMP%\bofupmjwusfvsnibdjee\mctcnkryorrncmvtinnj.ttkc
Подменяет следующие файлы
- %TEMP%\bofupmjwusfvsnibdjee\unrerstbvq.blcqvcuqr
- %TEMP%\bofupmjwusfvsnibdjee\lxnonhkjbu.qqwlxqeqo
Сетевая активность
Подключается к
- 'f0####65.xsph.ru':80
TCP
Запросы HTTP POST
- http://f0####65.xsph.ru/collect.php
UDP
- DNS ASK f0####65.xsph.ru
Другое
Создает и запускает на исполнение
- '%TEMP%\soundpad_setup.exe'
- '%TEMP%\lrucache.exe'
- '%TEMP%\wccnativeupdate.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -EncodedCommand "PAAjAGoAdwB2AHAAIwA+ACAAQQBkAGQALQBNAHAAUAByAGUAZgBlAHIAZQBuAGMAZQAgADwAIwB6AHEAYgAjAD4AIAAtAEUAeABjAGwAdQBzAGkAbwBuAFAAYQB0AGgAIABAACgAJABlAG4AdgA6AFUAcwBlAHIAUAByAG8AZgBpAGwA...' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc stop UsoSvc & sc stop WaaSMedicSvc & sc stop wuauserv & sc stop bits & sc stop dosvc & reg delete HKLM\SYSTEM\CurrentControlSet\Services\UsoSvc /f & reg delete HKLM\SYSTEM\CurrentControlS...' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c powercfg /x -hibernate-timeout-ac 0 & powercfg /x -hibernate-timeout-dc 0 & powercfg /x -standby-timeout-ac 0 & powercfg /x -standby-timeout-dc 0' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /ru "System" /tn "DBassistant" /tr "\"C:\Users\opera\AppData\Local\Temp\bc3902d8132f43e3ae086a009979fa88\WCCNativeHost.exe\""' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c schtasks /run /tn "DBassistant"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -EncodedCommand "PAAjAGoAdwB2AHAAIwA+ACAAQQBkAGQALQBNAHAAUAByAGUAZgBlAHIAZQBuAGMAZQAgADwAIwB6AHEAYgAjAD4AIAAtAEUAeABjAGwAdQBzAGkAbwBuAFAAYQB0AGgAIABAACgAJABlAG4AdgA6AFUAcwBlAHIAUAByAG8AZgBpAGwA...
- '<SYSTEM32>\cmd.exe' /c schtasks /run /tn "DBassistant"
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /ru "System" /tn "DBassistant" /tr "\"C:\Users\opera\AppData\Local\Temp\bc3902d8132f43e3ae086a009979fa88\WCCNativeHost.exe\""
- '<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
- '<SYSTEM32>\icacls.exe' <SYSTEM32>\WaaSMedicSvc.dll /grant *S-1-1-0:F /t /c /l /q
- '<SYSTEM32>\takeown.exe' /f <SYSTEM32>\WaaSMedicSvc.dll
- '<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
- '<SYSTEM32>\reg.exe' delete HKLM\SYSTEM\CurrentControlSet\Services\dosvc /f
- '<SYSTEM32>\reg.exe' delete HKLM\SYSTEM\CurrentControlSet\Services\bits /f
- '<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
- '<SYSTEM32>\schtasks.exe' /create /f /sc onlogon /rl highest /ru "System" /tn "DBassistant" /tr "\"C:\Users\opera\AppData\Local\Temp\bc3902d8132f43e3ae086a009979fa88\WCCNativeHost.exe\""
- '<SYSTEM32>\reg.exe' delete HKLM\SYSTEM\CurrentControlSet\Services\wuauserv /f
- '<SYSTEM32>\reg.exe' delete HKLM\SYSTEM\CurrentControlSet\Services\UsoSvc /f
- '<SYSTEM32>\sc.exe' stop dosvc
- '<SYSTEM32>\sc.exe' stop bits
- '<SYSTEM32>\sc.exe' stop wuauserv
- '<SYSTEM32>\sc.exe' stop WaaSMedicSvc
- '<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
- '<SYSTEM32>\sc.exe' stop UsoSvc
- '<SYSTEM32>\cmd.exe' /c powercfg /x -hibernate-timeout-ac 0 & powercfg /x -hibernate-timeout-dc 0 & powercfg /x -standby-timeout-ac 0 & powercfg /x -standby-timeout-dc 0
- '<SYSTEM32>\cmd.exe' /c sc stop UsoSvc & sc stop WaaSMedicSvc & sc stop wuauserv & sc stop bits & sc stop dosvc & reg delete HKLM\SYSTEM\CurrentControlSet\Services\UsoSvc /f & reg delete HKLM\SYSTEM\CurrentControlS...
- '<SYSTEM32>\reg.exe' delete HKLM\SYSTEM\CurrentControlSet\Services\WaaSMedicSvc /f
- '<SYSTEM32>\schtasks.exe' /run /tn "DBassistant"
