Trojan.PWS.Stealer.36745

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'SmartScreen.exe' = '%ALLUSERSPROFILE%\Includersr\SmartScreen.exe'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\smartscreen.exe

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\installutil.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nsaddd1.tmp
%TEMP%\etilqs_erkdavkhidpg4ne
%TEMP%\etilqs_acgx4rykfjmr0bh
%TEMP%\etilqs_wvhysdtx1tspfvi
%TEMP%\etilqs_7f9jdmq0ojstjns
%TEMP%\etilqs_yz33f4zhdwagtez
%ALLUSERSPROFILE%\includersr\smartscreen.exe
%TEMP%\onefile_2024_133574268212290000\vcruntime140.dll
%TEMP%\onefile_2024_133574268212290000\unicodedata.pyd
%TEMP%\onefile_2024_133574268212290000\python310.dll
%TEMP%\onefile_2024_133574268212290000\scriptback.exe
%APPDATA%\scriptback.exe
%APPDATA%\mins.exe
%APPDATA%\met.exe
%APPDATA%\loader.exe
%APPDATA%\clipp.exe
%TEMP%\etilqs_7um1apivcqrkcpo
%TEMP%\etilqs_tugsdsbdjwnxnyd

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\clipp.exe
%APPDATA%\loader.exe
%APPDATA%\met.exe
%APPDATA%\mins.exe
%APPDATA%\scriptback.exe

Удаляет следующие файлы

%TEMP%\onefile_2024_133574268212290000\python310.dll
%TEMP%\onefile_2024_133574268212290000\scriptback.exe
%TEMP%\onefile_2024_133574268212290000\unicodedata.pyd
%TEMP%\onefile_2024_133574268212290000\vcruntime140.dll

Сетевая активность

Подключается к

'5.##.65.101':48790
'au######te.geo.opera.com':80
'au######te.geo.opera.com':443

TCP

Запросы HTTP GET

http://au######te.geo.opera.com/geolocation/

Другие

'au######te.geo.opera.com':443

UDP

DNS ASK google.com
DNS ASK au######te.geo.opera.com

Другое

Ищет следующие окна

ClassName: 'Opera_MessageWindow' WindowName: '%APPDATA%\Opera Software\Opera Stable'

Создает и запускает на исполнение

'%APPDATA%\clipp.exe'
'%APPDATA%\loader.exe'
'%APPDATA%\met.exe'
'%APPDATA%\mins.exe'
'%APPDATA%\scriptback.exe'
'%TEMP%\onefile_2024_133574268212290000\scriptback.exe'

Запускает на исполнение

'%WINDIR%\microsoft.net\framework\v4.0.30319\installutil.exe'
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' --type=utility --channel="2216.4.923861442\658872870" --lang=en-US --no-sandbox --enable-proprietary-media-types-playback /prefetch:-645351001 /crash-reporter-parent-id=1020
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2216.12.1453426623\1880961028" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2216.11.581951535\2001976564" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2216.10.1081877562\318584590" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2216.9.1153820517\684570484" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2216.8.582284144\1578387161" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2216.7.1332396591\1910820358" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2216.6.454438530\583462053" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2216.5.2023545625\1171715799" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2216.4.923861442\658872870" --lang=en-US --no-sandbox --enable-proprietary-media-types-playback /prefetch:-645351001
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=renderer --alt-high-dpi-setting=96 --disable-direct-npapi-requests --enable-deferred-image-decoding --lang=en-US --enable-proprietary-media-types-playback --extension-process --enable-we...
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=renderer --alt-high-dpi-setting=96 --disable-direct-npapi-requests --enable-deferred-image-decoding --lang=en-US --enable-proprietary-media-types-playback --disable-client-side-phishing-...
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=gpu-process --channel="2216.0.791222474\1723661444" --enable-proprietary-media-types-playback --supports-dual-gpus=false --gpu-driver-bug-workarounds=1,19,42 --gpu-vendor-id=0x0000 --gpu...
'<SYSTEM32>\schtasks.exe' /create /tn SmartScreen.exe /tr "%ALLUSERSPROFILE%\Includersr\SmartScreen.exe" /st 13:25 /du 23:59 /sc daily /ri 1 /f
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://teletype.in/@pchack/error /crash-reporter-parent-id=2216
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' -noautoupdate --ran-launcher -- https://teletype.in/@pchack/error
'%ProgramFiles(x86)%\opera\launcher.exe' -noautoupdate -- "https://teletype.in/@pchack/error"
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2216.13.1352412721\1303921592" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2216.14.257639258\978495437" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001