Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM chrome.exe
- '<SYSTEM32>\taskkill.exe' /F /IM msedge.exe
- '<SYSTEM32>\taskkill.exe' /F /IM brave.exe
- '<SYSTEM32>\taskkill.exe' /F /IM opera.exe
Запускает большое число процессов
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\login data
Сетевая активность
Подключается к
- 'ip##o.is':80
TCP
Запросы HTTP GET
- /?ou######### via ip##o.is
UDP
- DNS ASK ip##o.is
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "Set-MpPreference -ExclusionPath" C:\
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -NoLogo -Command "Get-Culture | Select -ExpandProperty DisplayName"
- '<SYSTEM32>\robocopy.exe' "%APPDATA%\Opera Software\Opera Stable" %LOCALAPPDATA%\Temp "Login Data" "opera software_opera stable_login_data" /B /COPY:DAT /R:0 /W:0 /NP
- '<SYSTEM32>\robocopy.exe' "%LOCALAPPDATA%\Microsoft\Edge\User Data\Default" %LOCALAPPDATA%\Temp "Login Data" microsoft_default_login_data /B /COPY:DAT /R:0 /W:0 /NP
- '<SYSTEM32>\robocopy.exe' "%LOCALAPPDATA%\Google\Chrome\User Data\Default" %LOCALAPPDATA%\Temp "Login Data" google_default_login_data /B /COPY:DAT /R:0 /W:0 /NP
