Trojan.DownLoader49.12058

Техническая информация

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /F /IM chrome.exe
'<SYSTEM32>\taskkill.exe' /F /IM msedge.exe
'<SYSTEM32>\taskkill.exe' /F /IM brave.exe
'<SYSTEM32>\taskkill.exe' /F /IM opera.exe
'<SYSTEM32>\taskkill.exe' /F /IM yandex.exe
'<SYSTEM32>\taskkill.exe' /F /IM discord.exe
'<SYSTEM32>\taskkill.exe' /F /IM discordcanary.exe
'<SYSTEM32>\taskkill.exe' /F /IM discordptb.exe
'<SYSTEM32>\taskkill.exe' /F /IM discorddevelopment.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\pkg\7fb52b781709b065c240b6b81394be6e72e53fe11d7c8e0f7b49dd417eb78a01\sqlite3\package.json
%TEMP%\pkg\7fb52b781709b065c240b6b81394be6e72e53fe11d7c8e0f7b49dd417eb78a01\sqlite3\binding.gyp
%TEMP%\pkg\7fb52b781709b065c240b6b81394be6e72e53fe11d7c8e0f7b49dd417eb78a01\sqlite3\lib\sqlite3.js
%TEMP%\pkg\7fb52b781709b065c240b6b81394be6e72e53fe11d7c8e0f7b49dd417eb78a01\sqlite3\lib\sqlite3-binding.js
%TEMP%\pkg\7fb52b781709b065c240b6b81394be6e72e53fe11d7c8e0f7b49dd417eb78a01\sqlite3\lib\trace.js
%TEMP%\pkg\7fb52b781709b065c240b6b81394be6e72e53fe11d7c8e0f7b49dd417eb78a01\sqlite3\lib\sqlite3.d.ts
%TEMP%\pkg\7fb52b781709b065c240b6b81394be6e72e53fe11d7c8e0f7b49dd417eb78a01\sqlite3\lib\binding\napi-v6-win32-unknown-x64\node_sqlite3.node
%TEMP%\pkg\7fb52b781709b065c240b6b81394be6e72e53fe11d7c8e0f7b49dd417eb78a01\sqlite3\lib\binding\napi-v6-win32-unknown-x64\node_sqlite3.node.bak
%TEMP%\pkg\7fb52b781709b065c240b6b81394be6e72e53fe11d7c8e0f7b49dd417eb78a01\sqlite3\deps\common-sqlite.gypi
%TEMP%\pkg\7fb52b781709b065c240b6b81394be6e72e53fe11d7c8e0f7b49dd417eb78a01\sqlite3\deps\extract.js
%TEMP%\pkg\7fb52b781709b065c240b6b81394be6e72e53fe11d7c8e0f7b49dd417eb78a01\sqlite3\deps\sqlite-autoconf-3410100.tar.gz
%TEMP%\pkg\7fb52b781709b065c240b6b81394be6e72e53fe11d7c8e0f7b49dd417eb78a01\sqlite3\deps\sqlite3.gyp
%TEMP%\pkg\7fb52b781709b065c240b6b81394be6e72e53fe11d7c8e0f7b49dd417eb78a01\sqlite3\src\async.h
%TEMP%\pkg\7fb52b781709b065c240b6b81394be6e72e53fe11d7c8e0f7b49dd417eb78a01\sqlite3\src\backup.cc
%TEMP%\pkg\7fb52b781709b065c240b6b81394be6e72e53fe11d7c8e0f7b49dd417eb78a01\sqlite3\src\backup.h
%TEMP%\pkg\7fb52b781709b065c240b6b81394be6e72e53fe11d7c8e0f7b49dd417eb78a01\sqlite3\src\database.cc
%TEMP%\pkg\7fb52b781709b065c240b6b81394be6e72e53fe11d7c8e0f7b49dd417eb78a01\sqlite3\src\database.h
%TEMP%\pkg\7fb52b781709b065c240b6b81394be6e72e53fe11d7c8e0f7b49dd417eb78a01\sqlite3\src\gcc-preinclude.h
%TEMP%\pkg\7fb52b781709b065c240b6b81394be6e72e53fe11d7c8e0f7b49dd417eb78a01\sqlite3\src\macros.h
%TEMP%\pkg\7fb52b781709b065c240b6b81394be6e72e53fe11d7c8e0f7b49dd417eb78a01\sqlite3\src\node_sqlite3.cc
%TEMP%\pkg\7fb52b781709b065c240b6b81394be6e72e53fe11d7c8e0f7b49dd417eb78a01\sqlite3\src\statement.cc
%TEMP%\pkg\7fb52b781709b065c240b6b81394be6e72e53fe11d7c8e0f7b49dd417eb78a01\sqlite3\src\statement.h
%TEMP%\pkg\7fb52b781709b065c240b6b81394be6e72e53fe11d7c8e0f7b49dd417eb78a01\sqlite3\src\threading.h
%TEMP%\pkg\93e17089725dfdbabccb35b3dff2063e47983f11ae68cee1b7bfbfe8b0585334\@primno\dpapi\package.json
%TEMP%\pkg\93e17089725dfdbabccb35b3dff2063e47983f11ae68cee1b7bfbfe8b0585334\@primno\dpapi\binding.gyp
%TEMP%\pkg\93e17089725dfdbabccb35b3dff2063e47983f11ae68cee1b7bfbfe8b0585334\@primno\dpapi\dist\index.js
%TEMP%\pkg\93e17089725dfdbabccb35b3dff2063e47983f11ae68cee1b7bfbfe8b0585334\@primno\dpapi\dist\index.d.ts
%TEMP%\pkg\93e17089725dfdbabccb35b3dff2063e47983f11ae68cee1b7bfbfe8b0585334\@primno\dpapi\src\dpapi_addon.h
%TEMP%\pkg\93e17089725dfdbabccb35b3dff2063e47983f11ae68cee1b7bfbfe8b0585334\@primno\dpapi\src\dpapi_not_supported.cpp
%TEMP%\pkg\93e17089725dfdbabccb35b3dff2063e47983f11ae68cee1b7bfbfe8b0585334\@primno\dpapi\src\dpapi_win.cpp
%TEMP%\pkg\93e17089725dfdbabccb35b3dff2063e47983f11ae68cee1b7bfbfe8b0585334\@primno\dpapi\src\main.cpp
%TEMP%\pkg\93e17089725dfdbabccb35b3dff2063e47983f11ae68cee1b7bfbfe8b0585334\@primno\dpapi\prebuilds\win32-x64\node.napi.node
%TEMP%\pkg\93e17089725dfdbabccb35b3dff2063e47983f11ae68cee1b7bfbfe8b0585334\@primno\dpapi\prebuilds\win32-x64\node.napi.node.bak
%TEMP%\screenshot.png
%TEMP%\collecteddata\screenshots\desktop.png
%TEMP%\data.zip

Удаляет файлы, которые сам же создал

%TEMP%\screenshot.png
%TEMP%\collecteddata\screenshots\desktop.png
%TEMP%\data.zip

Сетевая активность

Подключается к

'ap#.#ofile.io':443
'st####.gofile.io':443
'ip##pi.com':80
'as####7.bluzer.us':1337

TCP

Запросы HTTP GET

http://ip##pi.com/json/

Запросы HTTP POST

http://as#####.bluzer.us:1337/get-info via as####7.bluzer.us

Другие

'ap#.#ofile.io':443
'st####.gofile.io':443

UDP

DNS ASK ap#.#ofile.io
DNS ASK st####.gofile.io
DNS ASK ip##pi.com
DNS ASK as####7.bluzer.us

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /IM chrome.exe" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /IM msedge.exe" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /IM brave.exe" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /IM opera.exe" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /IM yandex.exe" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /IM discord.exe" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /IM discordcanary.exe" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /IM discordptb.exe" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /IM discorddevelopment.exe" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /d /s /c "powershell -EncodedCommand CgAgACAAIAAgACAAIAAgACAAIAAgACAAIAAgACAAIAAgAEEAZABkAC0AVAB5AHAAZQAgAC0AQQBzAHMAZQBtAGIAbAB5AE4AYQBtAGUAIABTAHkAcwB0AGUAbQAuAFcAaQBuAGQAbwB3AHMALgBGAG8AcgBt... (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -EncodedCommand CgAgACAAIAAgACAAIAAgACAAIAAgACAAIAAgACAAIAAgAEEAZABkAC0AVAB5AHAAZQAgAC0AQQBzAHMAZQBtAGIAbAB5AE4AYQBtAGUAIABTAHkAcwB0AGUAbQAuAFcAaQBuAGQAbwB3AHMALgBGAG8AcgBtAHMACgAgACAAIAAgACAAI...