Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\svchost.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [HKCU\Software\FTPWare\COREFTP\Sites\]
- [HKCU\Software\Martin Prikryl\WinSCP 2\Sessions\]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\aut76a7.tmp
- %TEMP%\oxmanship
- %TEMP%\aut7929.tmp
- %TEMP%\overroughly
- %APPDATA%\microsoft\windows\templates\xlypwqwecxzs-user\logindata
- %APPDATA%\microsoft\windows\templates\xlypwqwecxzs-user\webdata
Удаляет файлы, которые сам же создал
- %TEMP%\aut76a7.tmp
- %TEMP%\aut7929.tmp
Сетевая активность
Подключается к
- 'mo#####.map.fastly.net':443
- 'co##############e-chains.prod.autograph.services.mozaws.net':443
UDP
- DNS ASK mo#####.map.fastly.net
- DNS ASK co##############e-chains.prod.autograph.services.mozaws.net
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\svchost.exe'
