Trojan.BankBot.2672

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\masonmasonemcompression.exe

Вредоносные функции

Внедряет код в

следующие системные процессы:

<SYSTEM32>\winlogon.exe
<SYSTEM32>\lsass.exe
<SYSTEM32>\svchost.exe
<SYSTEM32>\dwm.exe
<SYSTEM32>\wudfhost.exe
<SYSTEM32>\spoolsv.exe
<SYSTEM32>\sihost.exe
<SYSTEM32>\taskhostw.exe
%WINDIR%\explorer.exe
<SYSTEM32>\runtimebroker.exe
<SYSTEM32>\dllhost.exe
<SYSTEM32>\securityhealthsystray.exe
<SYSTEM32>\oobe\useroobebroker.exe
<SYSTEM32>\werfault.exe

следующие пользовательские процессы:

iexplore.exe
firefox.exe
discord_osintlite.exe
masonemcompression.exe

Перехватывает функции

в браузерах

Процесс firefox.exe, модуль advapi32.dll
Процесс iexplore.exe, модуль advapi32.dll

Завершает или пытается завершить

следующие системные процессы:

<SYSTEM32>\schtasks.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\discord_osintlite.exe
%TEMP%\masonemcompression.exe
%TEMP%\onefile_2612_134154320770556960\discord_osintlite.dll
%LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
%TEMP%\onefile_2612_134154320770556960\.env
%TEMP%\onefile_2612_134154320770556960\_bz2.pyd
%TEMP%\onefile_2612_134154320770556960\_decimal.pyd
%TEMP%\onefile_2612_134154320770556960\_hashlib.pyd
%TEMP%\onefile_2612_134154320770556960\_lzma.pyd
%TEMP%\onefile_2612_134154320770556960\_queue.pyd
%TEMP%\onefile_2612_134154320770556960\_socket.pyd
%TEMP%\onefile_2612_134154320770556960\_ssl.pyd
%TEMP%\onefile_2612_134154320770556960\concrt140.dll
%TEMP%\onefile_2612_134154320770556960\libcrypto-1_1.dll
%TEMP%\onefile_2612_134154320770556960\libeay32.dll
%TEMP%\onefile_2612_134154320770556960\libssl-1_1.dll
%TEMP%\onefile_2612_134154320770556960\msvcp140.dll
%TEMP%\onefile_2612_134154320770556960\msvcp140_1.dll
%TEMP%\onefile_2612_134154320770556960\python3.dll
%TEMP%\onefile_2612_134154320770556960\python311.dll
%TEMP%\onefile_2612_134154320770556960\qt5core.dll
%TEMP%\onefile_2612_134154320770556960\qt5dbus.dll
%TEMP%\onefile_2612_134154320770556960\qt5gui.dll
%TEMP%\onefile_2612_134154320770556960\qt5multimedia.dll
%TEMP%\onefile_2612_134154320770556960\qt5network.dll
%TEMP%\content\1300-2992-masonemcompression.exe-20-54-41-578.dump
%TEMP%\onefile_2612_134154320770556960\qt5printsupport.dll
%TEMP%\onefile_2612_134154320770556960\qt5qml.dll
%TEMP%\onefile_2612_134154320770556960\qt5qmlmodels.dll
%TEMP%\onefile_2612_134154320770556960\qt5quick.dll
%TEMP%\onefile_2612_134154320770556960\qt5svg.dll
%TEMP%\onefile_2612_134154320770556960\qt5websockets.dll
%TEMP%\onefile_2612_134154320770556960\qt5widgets.dll
%TEMP%\content\1300-2992-masonemcompression.exe-20-54-42-114.dump
%TEMP%\evmuhqmn.54b.exe
%TEMP%\onefile_2612_134154320770556960\select.pyd
%TEMP%\onefile_2612_134154320770556960\ssleay32.dll
%TEMP%\onefile_2612_134154320770556960\unicodedata.pyd
%TEMP%\onefile_2612_134154320770556960\vcruntime140.dll
%TEMP%\onefile_2612_134154320770556960\vcruntime140_1.dll
%TEMP%\onefile_2612_134154320770556960\pyqt5\qtcore.pyd
%TEMP%\onefile_2612_134154320770556960\pyqt5\qtgui.pyd
%TEMP%\onefile_2612_134154320770556960\pyqt5\qtwidgets.pyd
%TEMP%\onefile_2612_134154320770556960\pyqt5\sip.pyd
%TEMP%\onefile_2612_134154320770556960\pyqt5\qt-plugins\iconengines\qsvgicon.dll
%TEMP%\onefile_2612_134154320770556960\pyqt5\qt-plugins\imageformats\qgif.dll
%TEMP%\onefile_2612_134154320770556960\pyqt5\qt-plugins\imageformats\qicns.dll
%TEMP%\onefile_2612_134154320770556960\pyqt5\qt-plugins\imageformats\qico.dll
%TEMP%\onefile_2612_134154320770556960\pyqt5\qt-plugins\imageformats\qjpeg.dll
%TEMP%\onefile_2612_134154320770556960\pyqt5\qt-plugins\imageformats\qsvg.dll
%TEMP%\onefile_2612_134154320770556960\pyqt5\qt-plugins\imageformats\qtga.dll
%TEMP%\onefile_2612_134154320770556960\pyqt5\qt-plugins\imageformats\qtiff.dll
%TEMP%\onefile_2612_134154320770556960\pyqt5\qt-plugins\imageformats\qwbmp.dll
%TEMP%\onefile_2612_134154320770556960\pyqt5\qt-plugins\imageformats\qwebp.dll
%TEMP%\onefile_2612_134154320770556960\pyqt5\qt-plugins\mediaservice\dsengine.dll
%TEMP%\onefile_2612_134154320770556960\pyqt5\qt-plugins\mediaservice\qtmedia_audioengine.dll
%TEMP%\onefile_2612_134154320770556960\pyqt5\qt-plugins\mediaservice\wmfengine.dll
%TEMP%\onefile_2612_134154320770556960\pyqt5\qt-plugins\platforms\qminimal.dll
%TEMP%\onefile_2612_134154320770556960\pyqt5\qt-plugins\platforms\qoffscreen.dll
%TEMP%\onefile_2612_134154320770556960\pyqt5\qt-plugins\platforms\qwebgl.dll
%TEMP%\onefile_2612_134154320770556960\pyqt5\qt-plugins\platforms\qwindows.dll
%TEMP%\onefile_2612_134154320770556960\pyqt5\qt-plugins\platformthemes\qxdgdesktopportal.dll
%TEMP%\onefile_2612_134154320770556960\pyqt5\qt-plugins\printsupport\windowsprintersupport.dll
%TEMP%\onefile_2612_134154320770556960\pyqt5\qt-plugins\styles\qwindowsvistastyle.dll
%TEMP%\onefile_2612_134154320770556960\certifi\cacert.pem