Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Kryptex' = '"%ProgramFiles%\Kryptex\Kryptex.exe" --from-startup�'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\kryptexelevationv2
- <SYSTEM32>\tasks\kryptexelevationv2fromstartup
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c Add-MpPreference -ExclusionPath \"%TEMP%\nsf118E.tmp\"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c Add-MpPreference -ExclusionPath \"%ProgramFiles%\Kryptex\"
Внедряет код в
следующие пользовательские процессы:
- kryptex.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsf118e.tmp\system.dll
- %TEMP%\nsf118e.tmp\stdutils.dll
- %TEMP%\nsf118e.tmp\nsexec.dll
- %TEMP%\nsf118e.tmp\spiderbanner.dll
- %TEMP%\nsf118e.tmp\nsprocess.dll
- %TEMP%\nsf118e.tmp\app-64.7z
- %TEMP%\nsf118e.tmp\nsis7z.dll
- %ProgramFiles%\kryptex\chrome_100_percent.pak
- %ProgramFiles%\kryptex\chrome_200_percent.pak
- %ProgramFiles%\kryptex\icudtl.dat
- %ProgramFiles%\kryptex\kryptexelevation.xml
- %ProgramFiles%\kryptex\kryptexelevationfromstartup.xml
- %ProgramFiles%\kryptex\license.electron.txt
- %ProgramFiles%\kryptex\licenses.chromium.html
- %ProgramFiles%\kryptex\locales\am.pak
- %ProgramFiles%\kryptex\locales\ar.pak
- %ProgramFiles%\kryptex\locales\bg.pak
- %ProgramFiles%\kryptex\locales\bn.pak
- %ProgramFiles%\kryptex\locales\ca.pak
- %ProgramFiles%\kryptex\locales\cs.pak
- %ProgramFiles%\kryptex\locales\da.pak
- %ProgramFiles%\kryptex\locales\de.pak
- %ProgramFiles%\kryptex\locales\el.pak
- %ProgramFiles%\kryptex\locales\en-gb.pak
- %ProgramFiles%\kryptex\locales\en-us.pak
- %ProgramFiles%\kryptex\locales\es-419.pak
- %ProgramFiles%\kryptex\locales\es.pak
- %ProgramFiles%\kryptex\locales\et.pak
- %ProgramFiles%\kryptex\locales\fa.pak
- %ProgramFiles%\kryptex\locales\fi.pak
- %ProgramFiles%\kryptex\locales\fil.pak
- %ProgramFiles%\kryptex\locales\fr.pak
- %ProgramFiles%\kryptex\locales\gu.pak
- %ProgramFiles%\kryptex\locales\he.pak
- %ProgramFiles%\kryptex\locales\hi.pak
- %ProgramFiles%\kryptex\locales\hr.pak
- %ProgramFiles%\kryptex\locales\hu.pak
- %ProgramFiles%\kryptex\locales\id.pak
- %ProgramFiles%\kryptex\locales\it.pak
- %ProgramFiles%\kryptex\locales\ja.pak
- %ProgramFiles%\kryptex\locales\kn.pak
- %ProgramFiles%\kryptex\locales\ko.pak
- %ProgramFiles%\kryptex\locales\lt.pak
- %ProgramFiles%\kryptex\locales\lv.pak
- %ProgramFiles%\kryptex\locales\ml.pak
- %ProgramFiles%\kryptex\locales\mr.pak
- %ProgramFiles%\kryptex\locales\ms.pak
- %ProgramFiles%\kryptex\locales\nb.pak
- %ProgramFiles%\kryptex\locales\nl.pak
- %ProgramFiles%\kryptex\locales\pl.pak
- %ProgramFiles%\kryptex\locales\pt-br.pak
- %ProgramFiles%\kryptex\locales\pt-pt.pak
- %ProgramFiles%\kryptex\locales\ro.pak
- %ProgramFiles%\kryptex\locales\ru.pak
- %ProgramFiles%\kryptex\locales\sk.pak
- %ProgramFiles%\kryptex\locales\sl.pak
- %ProgramFiles%\kryptex\locales\sr.pak
- %ProgramFiles%\kryptex\locales\sv.pak
- %ProgramFiles%\kryptex\locales\sw.pak
- %ProgramFiles%\kryptex\locales\ta.pak
- %ProgramFiles%\kryptex\locales\te.pak
- %ProgramFiles%\kryptex\locales\th.pak
- %ProgramFiles%\kryptex\locales\tr.pak
- %ProgramFiles%\kryptex\locales\uk.pak
- %ProgramFiles%\kryptex\locales\vi.pak
- %ProgramFiles%\kryptex\locales\zh-cn.pak
- %ProgramFiles%\kryptex\locales\zh-tw.pak
- %ProgramFiles%\kryptex\resources.pak
- %ProgramFiles%\kryptex\resources\app.asar
- %ProgramFiles%\kryptex\resources\app.asar.unpacked\node_modules\kryptex-backend\node_modules\7zip-bin\7x.sh
- %ProgramFiles%\kryptex\resources\app.asar.unpacked\node_modules\kryptex-backend\node_modules\7zip-bin\index.js
- %ProgramFiles%\kryptex\resources\app.asar.unpacked\node_modules\kryptex-backend\node_modules\7zip-bin\license.txt
- %ProgramFiles%\kryptex\resources\app.asar.unpacked\node_modules\kryptex-backend\node_modules\7zip-bin\package.json
- %ProgramFiles%\kryptex\resources\app.asar.unpacked\node_modules\kryptex-backend\node_modules\amd-binding\index.js
- %ProgramFiles%\kryptex\resources\app.asar.unpacked\node_modules\kryptex-backend\node_modules\amd-binding\package.json
- %ProgramFiles%\kryptex\resources\app.asar.unpacked\node_modules\kryptex-backend\node_modules\nvapi\index.js
- %ProgramFiles%\kryptex\resources\app.asar.unpacked\node_modules\kryptex-backend\node_modules\nvapi\package.json
- %ProgramFiles%\kryptex\resources\app.asar.unpacked\node_modules\kryptex-backend\node_modules\pagefile\index.js
- %ProgramFiles%\kryptex\resources\app.asar.unpacked\node_modules\kryptex-backend\node_modules\pagefile\package.json
- %ProgramFiles%\kryptex\snapshot_blob.bin
- %ProgramFiles%\kryptex\v8_context_snapshot.bin
- %ProgramFiles%\kryptex\vk_swiftshader_icd.json
- %ProgramFiles%\kryptex\d3dcompiler_47.dll
- %ProgramFiles%\kryptex\ffmpeg.dll
- %ProgramFiles%\kryptex\kryptex.exe
- %ProgramFiles%\kryptex\libegl.dll
- %ProgramFiles%\kryptex\libglesv2.dll
- %ProgramFiles%\kryptex\resources\app.asar.unpacked\node_modules\kryptex-backend\node_modules\7zip-bin\win\arm64\7za.exe
- %ProgramFiles%\kryptex\resources\app.asar.unpacked\node_modules\kryptex-backend\node_modules\7zip-bin\win\x64\7za.exe
- %ProgramFiles%\kryptex\resources\app.asar.unpacked\node_modules\kryptex-backend\node_modules\amd-binding\build\release\adlinfo.exe
- %ProgramFiles%\kryptex\resources\app.asar.unpacked\node_modules\kryptex-backend\node_modules\nvapi\build\release\nvapi.exe
- %ProgramFiles%\kryptex\resources\app.asar.unpacked\node_modules\kryptex-backend\node_modules\pagefile\build\release\pagefile.exe
- %ProgramFiles%\kryptex\resources\elevate.exe
- %ProgramFiles%\kryptex\swiftshader\libegl.dll
- %ProgramFiles%\kryptex\swiftshader\libglesv2.dll
- %ProgramFiles%\kryptex\vk_swiftshader.dll
- %ProgramFiles%\kryptex\vulkan-1.dll
- %LOCALAPPDATA%\kryptex-app-updater\installer.exe
- %ProgramFiles%\kryptex\uninstall kryptex.exe
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\kryptex.lnk
- %TEMP%\nsf118e.tmp\winshell.dll
- C:\users\public\desktop\kryptex.lnk
- %APPDATA%\kryptex\crashpad\settings.dat
- %APPDATA%\kryptex\sentry\queue\queue.json
- %APPDATA%\kryptex\sentry\scope_v2.json
- %APPDATA%\kryptex\sentry\session.json
- %APPDATA%\kryptex\local storage\leveldb\log
- %APPDATA%\kryptex\local storage\leveldb\manifest-000001
- %APPDATA%\kryptex\local storage\leveldb\000001.dbtmp
- %APPDATA%\kryptex\code cache\wasm\index
- %APPDATA%\kryptex\code cache\js\index
- %APPDATA%\kryptex\gpucache\index
- %APPDATA%\kryptex\gpucache\data_0
- %APPDATA%\kryptex\gpucache\data_1
- %APPDATA%\kryptex\gpucache\data_2
- %APPDATA%\kryptex\gpucache\data_3
- %APPDATA%\kryptex\code cache\js\index-dir\temp-index
- %APPDATA%\kryptex\code cache\wasm\index-dir\temp-index
- %APPDATA%\kryptex\cache\index
- %APPDATA%\kryptex\cache\data_0
- %APPDATA%\kryptex\cache\data_1
- %APPDATA%\kryptex\cache\data_2
- %APPDATA%\kryptex\cache\data_3
- %APPDATA%\kryptex\fontlookuptablecache\font_unique_name_table.pb
- %TEMP%\ce2d1ffe-2f88-4958-ac62-eef500c95d32.tmp.node
- %TEMP%\408604b1-f4da-4d20-93ab-c957ae40220f.tmp.node
- %TEMP%\618873d9-c65b-4c0f-99e6-7e3239f04ba1.tmp.node
- %TEMP%\bacb8adf-1972-4c81-a17d-16d0a7deb9f4.tmp.ico
- %APPDATA%\kryptex\config.json.1443717386
- %APPDATA%\kryptex\cache.json.2991403024
- %APPDATA%\kryptex\benchmark.json.1846080324
- %APPDATA%\kryptex\cookies-journal
- %APPDATA%\kryptex\c150aa28-efae-49a0-8a80-29e8c975dce2.tmp
- %APPDATA%\kryptex\cookies
- %APPDATA%\kryptex\e51e40fd-3c10-49d6-a731-172001014cce.tmp
- %APPDATA%\kryptex\sentry\queue\0b75b0d25f8348bd8cfa8ba3ca96610d
- %APPDATA%\kryptex\sentry\queue\fc0400c236d8439dab0930a1c7b764be
- %APPDATA%\kryptex\sentry\queue\95e8bc31cde9430fad16c8aa8d3a281c
- %TEMP%\559a62b7-e575-45ff-923d-1948b429aef0.tmp
- %APPDATA%\kryptex\sentry\queue\56b960aad40c4f7eab5650f2f8c95e03
- %APPDATA%\kryptex\sentry\queue\45bd6df02aec4e688b91f333e4706a8a
- %APPDATA%\kryptex\sentry\queue\c5e3d84266e84d719afb47890620abd7
- %APPDATA%\kryptex\sentry\queue\75f166588839436d9f35c5b1935764cc
Удаляет следующие файлы
- %TEMP%\nsf118e.tmp\app-64.7z
- %TEMP%\nsf118e.tmp\nsexec.dll
- %TEMP%\nsf118e.tmp\nsis7z.dll
- %TEMP%\nsf118e.tmp\nsprocess.dll
- %TEMP%\nsf118e.tmp\spiderbanner.dll
- %TEMP%\nsf118e.tmp\stdutils.dll
- %TEMP%\nsf118e.tmp\system.dll
- %TEMP%\nsf118e.tmp\winshell.dll
- %APPDATA%\kryptex\sentry\queue\0b75b0d25f8348bd8cfa8ba3ca96610d
- %APPDATA%\kryptex\sentry\queue\fc0400c236d8439dab0930a1c7b764be
- %APPDATA%\kryptex\sentry\queue\95e8bc31cde9430fad16c8aa8d3a281c
- %APPDATA%\kryptex\network persistent state~rfdde6c.tmp
Перемещает следующие файлы
- %APPDATA%\kryptex\local storage\leveldb\000001.dbtmp в %APPDATA%\kryptex\local storage\leveldb\current
- %APPDATA%\kryptex\code cache\js\index-dir\temp-index в %APPDATA%\kryptex\code cache\js\index-dir\the-real-index
- %APPDATA%\kryptex\code cache\wasm\index-dir\temp-index в %APPDATA%\kryptex\code cache\wasm\index-dir\the-real-index
- %APPDATA%\kryptex\benchmark.json.1846080324 в %APPDATA%\kryptex\benchmark.json
- %APPDATA%\kryptex\config.json.1443717386 в %APPDATA%\kryptex\config.json
- %APPDATA%\kryptex\cache.json.2991403024 в %APPDATA%\kryptex\cache.json
- %APPDATA%\kryptex\c150aa28-efae-49a0-8a80-29e8c975dce2.tmp в %APPDATA%\kryptex\preferences
- %APPDATA%\kryptex\e51e40fd-3c10-49d6-a731-172001014cce.tmp в %APPDATA%\kryptex\network persistent state
- %APPDATA%\kryptex\network persistent state в %APPDATA%\kryptex\network persistent state~rfdde6c.tmp
Сетевая активность
Подключается к
- 're####ctor.gvt1.com':443
- 'se#####app.kryptex.org':443
- 'x1.#.lencr.org':80
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Другие
- 're####ctor.gvt1.com':443
- 'r1######-axq7sn7l.gvt1.com':443
- 'se#####app.kryptex.org':443
UDP
- DNS ASK re####ctor.gvt1.com
- DNS ASK r1######-axq7sn7l.gvt1.com
- DNS ASK se#####app.kryptex.org
- DNS ASK x1.#.lencr.org
- 'r1######-axq7sn7l.gvt1.com':443
Другое
Ищет следующие окна
- ClassName: '#32770' WindowName: ''
- ClassName: 'SysListView32' WindowName: ''
- ClassName: 'Chrome_MessageWindow' WindowName: '%APPDATA%\Kryptex'
Создает и запускает на исполнение
- '%ProgramFiles%\kryptex\kryptex.exe'
- '%ProgramFiles%\kryptex\kryptex.exe' --type=crashpad-handler --user-data-dir=%APPDATA%\Kryptex /prefetch:7 --no-rate-limit --monitor-self-annotation=ptype=crashpad-handler --database=%APPDATA%\Kryptex\Crashpad --url=https://f.a.k/...
- '%ProgramFiles%\kryptex\kryptex.exe' --type=gpu-process --field-trial-handle=1068,10697165912045114623,15109096588903638370,131072 --disable-features=CookiesWithoutSameSiteMustBeSecure,SameSiteByDefaultCookies,SpareRendererForSite...
- '%ProgramFiles%\kryptex\kryptex.exe' --type=utility --utility-sub-type=network.mojom.NetworkService --field-trial-handle=1068,10697165912045114623,15109096588903638370,131072 --disable-features=CookiesWithoutSameSiteMustBeSecure,S...
- '%ProgramFiles%\kryptex\kryptex.exe' --type=renderer --user-data-dir="%APPDATA%\Kryptex" --standard-schemes --secure-schemes --bypasscsp-schemes=sentry-ipc --cors-schemes=sentry-ipc --fetch-schemes=sentry-ipc --service-worker-sche...
- '%ProgramFiles%\kryptex\resources\app.asar.unpacked\node_modules\kryptex-backend\node_modules\amd-binding\build\release\adlinfo.exe'
- '%ProgramFiles%\kryptex\resources\app.asar.unpacked\node_modules\kryptex-backend\node_modules\pagefile\build\release\pagefile.exe' 16 16
- '%ProgramFiles%\kryptex\resources\app.asar.unpacked\node_modules\kryptex-backend\node_modules\amd-binding\build\release\adlinfo.exe' setPageSize 2
Запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c Remove-MpPreference -ExclusionPath \"%TEMP%\nsf118E.tmp\" (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /delete /f /tn KryptexElevation (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /delete /f /tn KryptexElevationFromStartup (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /create /f /tn KryptexElevationV2 /xml "%ProgramFiles%\Kryptex\KryptexElevation.xml" (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /create /f /tn KryptexElevationV2FromStartup /xml "%ProgramFiles%\Kryptex\KryptexElevationFromStartup.xml" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' os get locale (со скрытым окном)
- '<SYSTEM32>\reg.exe' query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\AMD Catalyst Install Manager" /v DisplayVersion (со скрытым окном)
- '<SYSTEM32>\reg.exe' query HKLM\SYSTEM\ControlSet001\Control\Class\{4d36e968-e325-11ce-bfc1-08002be10318}\0000 /v RadeonSoftwareVersion (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "chcp" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' os get Caption /value (со скрытым окном)
- '<SYSTEM32>\chcp.com'
- '<SYSTEM32>\wbem\wmic.exe' os get SerialNumber /value (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' os get TotalVirtualMemorySize /value (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "wmic path Win32_NetworkAdapter where "PNPDeviceID like '%%%%PCI%%%%' AND NetConnectionStatus=2 AND AdapterTypeID='0'" get MacAddress" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' path Win32_NetworkAdapter where "PNPDeviceID like '%%%%PCI%%%%' AND NetConnectionStatus=2 AND AdapterTypeID='0'" get MacAddress
- '<SYSTEM32>\wbem\wmic.exe' pagefile get AllocatedBaseSize /value (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' logicaldisk where Caption='C:' get FreeSpace /value (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\GraphicsDrivers /v TdrDelay /t REG_DWORD /d 0x14 /f" (со скрытым окном)
- '<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\GraphicsDrivers /v TdrDelay /t REG_DWORD /d 0x14 /f
- '<SYSTEM32>\cmd.exe' /d /s /c "reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\GraphicsDrivers /v TdrDdiDelay /t REG_DWORD /d 0xa /f" (со скрытым окном)
- '<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\GraphicsDrivers /v TdrDdiDelay /t REG_DWORD /d 0xa /f
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c Add-MpPreference -ExclusionPath \"%TEMP%\nsf118E.tmp\" (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c Add-MpPreference -ExclusionPath \"%ProgramFiles%\Kryptex\" (со скрытым окном)
- '%ProgramFiles%\kryptex\resources\app.asar.unpacked\node_modules\kryptex-backend\node_modules\amd-binding\build\release\adlinfo.exe' (со скрытым окном)
- '%ProgramFiles%\kryptex\resources\app.asar.unpacked\node_modules\kryptex-backend\node_modules\pagefile\build\release\pagefile.exe' 16 16 (со скрытым окном)
- '%ProgramFiles%\kryptex\resources\app.asar.unpacked\node_modules\kryptex-backend\node_modules\amd-binding\build\release\adlinfo.exe' setPageSize 2 (со скрытым окном)
