Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /im firefox.exe /t /f
- '<SYSTEM32>\taskkill.exe' /im Telegram.exe /t /f
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\noderuntime\cache\data.bin
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\binding.gyp
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\license
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\package.json
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\readme.md
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\build\release\better_sqlite3.node
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\deps\common.gypi
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\deps\copy.js
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\deps\defines.gypi
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\deps\download.sh
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\deps\sqlite3.gyp
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\deps\test_extension.c
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\deps\patches\1208.patch
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\deps\sqlite3\sqlite3.c
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\deps\sqlite3\sqlite3.h
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\deps\sqlite3\sqlite3ext.h
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\lib\database.js
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\lib\index.js
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\lib\sqlite-error.js
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\lib\util.js
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\lib\methods\aggregate.js
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\lib\methods\backup.js
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\lib\methods\function.js
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\lib\methods\inspect.js
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\lib\methods\pragma.js
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\lib\methods\serialize.js
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\lib\methods\table.js
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\lib\methods\transaction.js
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\lib\methods\wrappers.js
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\src\addon.cpp
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\src\better_sqlite3.cpp
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\src\objects\backup.cpp
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\src\objects\backup.hpp
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\src\objects\database.cpp
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\src\objects\database.hpp
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\src\objects\statement-iterator.cpp
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\src\objects\statement-iterator.hpp
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\src\objects\statement.cpp
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\src\objects\statement.hpp
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\src\util\bind-map.cpp
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\src\util\binder.cpp
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\src\util\constants.cpp
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\src\util\custom-aggregate.cpp
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\src\util\custom-function.cpp
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\src\util\custom-table.cpp
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\src\util\data-converter.cpp
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\src\util\data.cpp
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\src\util\helpers.cpp
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\src\util\macros.cpp
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\src\util\query-macros.cpp
- %LOCALAPPDATA%\noderuntime\cache\node_modules\better-sqlite3\src\util\row-builder.cpp
- %LOCALAPPDATA%\noderuntime\cache\node_modules\bindings\bindings.js
- %LOCALAPPDATA%\noderuntime\cache\node_modules\bindings\license.md
- %LOCALAPPDATA%\noderuntime\cache\node_modules\bindings\package.json
- %LOCALAPPDATA%\noderuntime\cache\node_modules\bindings\readme.md
- %LOCALAPPDATA%\noderuntime\cache\node_modules\file-uri-to-path\.npmignore
- %LOCALAPPDATA%\noderuntime\cache\node_modules\file-uri-to-path\.travis.yml
- %LOCALAPPDATA%\noderuntime\cache\node_modules\file-uri-to-path\history.md
- %LOCALAPPDATA%\noderuntime\cache\node_modules\file-uri-to-path\index.d.ts
- %LOCALAPPDATA%\noderuntime\cache\node_modules\file-uri-to-path\index.js
- %LOCALAPPDATA%\noderuntime\cache\node_modules\file-uri-to-path\license
- %LOCALAPPDATA%\noderuntime\cache\node_modules\file-uri-to-path\package.json
- %LOCALAPPDATA%\noderuntime\cache\node_modules\file-uri-to-path\readme.md
- %LOCALAPPDATA%\noderuntime\cache\node_modules\file-uri-to-path\test\test.js
- %LOCALAPPDATA%\noderuntime\cache\node_modules\file-uri-to-path\test\tests.json
- %LOCALAPPDATA%\noderuntime\cache\a.js
- %LOCALAPPDATA%\noderuntime\cache\n.exe
- %LOCALAPPDATA%\noderuntime\cache\r.vbs
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
- %TEMP%\ee8dbbb4\log.txt
- %TEMP%\t40095d0e.db
- %TEMP%\tb9e01427.db
- %TEMP%\tdf7d0828.db
- nul
- %TEMP%\t479c678e.db
- %TEMP%\t479c678e.db-shm
- %TEMP%\ee8dbbb4\system.txt
- %TEMP%\passwords.json
Удаляет файлы, которые сам же создал
- %LOCALAPPDATA%\noderuntime\cache\data.bin
- %TEMP%\t40095d0e.db
- %TEMP%\tb9e01427.db
- %TEMP%\tdf7d0828.db
- %TEMP%\t479c678e.db
- %TEMP%\ee8dbbb4\log.txt
- %TEMP%\ee8dbbb4\system.txt
Сетевая активность
UDP
- DNS ASK ap#.#pify.org
- DNS ASK di##ord.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%LOCALAPPDATA%\noderuntime\cache\n.exe' "%LOCALAPPDATA%\NodeRuntime\cache\a.js"
Запускает на исполнение
- '<SYSTEM32>\tar.exe' -xf "%LOCALAPPDATA%\NodeRuntime\cache\data.bin" -C "%LOCALAPPDATA%\NodeRuntime\cache"
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell -NoProfile -Command "Add-Type -AssemblyName System.Security;[Convert]::ToBase64String([System.Security.Cryptography.ProtectedData]::Unprotect([Convert]::FromBase64String('A... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "Add-Type -AssemblyName System.Security;[Convert]::ToBase64String([System.Security.Cryptography.ProtectedData]::Unprotect([Convert]::FromBase64String('AQAAANCMnd8BFdERjHoAwE...
- '<SYSTEM32>\cmd.exe' /d /s /c "tasklist /FI "IMAGENAME eq chrome.exe"" (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq chrome.exe"
- '<SYSTEM32>\cmd.exe' /d /s /c "tasklist /FI "IMAGENAME eq msedge.exe"" (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq msedge.exe"
- '<SYSTEM32>\cmd.exe' /d /s /c "tasklist /FI "IMAGENAME eq opera.exe"" (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq opera.exe"
- '<SYSTEM32>\cmd.exe' /d /s /c "taskkill /im firefox.exe /t /f" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "taskkill /im Telegram.exe /t /f" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "Compress-Archive -Path \"%TEMP%\ee8dbbb4\*\" -DestinationPath \"%TEMP%\files_extra.zip\" -Force" (со скрытым окном)
