Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- msedge.exe
Патчит код
в динамической библиотеке AMSI
- Процесс tvwoqdf.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс tvwoqdf.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\main_debug.txt
- %TEMP%\sdata_output_901296\system_info.txt
- %TEMP%\abe_cfg_901500.txt
- %TEMP%\mmap_data_901515\crashpad\settings.dat
- %TEMP%\mmap_data_901515\crashpad\throttle_store.dat
- %TEMP%\mmap_data_901515\crashpadmetrics-active.pma
- %TEMP%\mmap_data_901515\default\chrome_debug.log
- %TEMP%\mmap_data_901515\default\code cache\wasm\index
- %TEMP%\mmap_data_901515\default\code cache\js\index
- %TEMP%\mmap_data_901515\default\code cache\js\index-dir\temp-index
- %TEMP%\mmap_data_901515\default\code cache\wasm\index-dir\temp-index
- %TEMP%\mmap_data_901515\0e3a43f3-15bf-43a9-b2c9-f390e345053d.tmp
- %TEMP%\sdata_output_901296\capabilities.txt
- %TEMP%\sdata_output_901296\desktop_files\fi51.doc
- %TEMP%\sdata_output_901296\desktop_files\weeklysheet1215.doc
- %TEMP%\sdata_output_901296\debug_filelist.txt
- %TEMP%\data-unknown-unknown.zip
Удаляет файлы, которые сам же создал
- %TEMP%\sdata_output_901296\capabilities.txt
- %TEMP%\sdata_output_901296\debug_filelist.txt
- %TEMP%\sdata_output_901296\desktop_files\fi51.doc
- %TEMP%\sdata_output_901296\desktop_files\weeklysheet1215.doc
- %TEMP%\sdata_output_901296\system_info.txt
Перемещает следующие файлы
- %TEMP%\mmap_data_901515\default\code cache\js\index-dir\temp-index в %TEMP%\mmap_data_901515\default\code cache\js\index-dir\the-real-index
- %TEMP%\mmap_data_901515\default\code cache\wasm\index-dir\temp-index в %TEMP%\mmap_data_901515\default\code cache\wasm\index-dir\the-real-index
- %TEMP%\mmap_data_901515\0e3a43f3-15bf-43a9-b2c9-f390e345053d.tmp в %TEMP%\mmap_data_901515\local state
Другое
Запускает на исполнение
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --user-data-dir="%TEMP%\mmap_data_901515" --no-first-run --no-default-browser-check --disable-extensions --disable-sync --no-sandbox --headless=old --disable-gpu --disable-software-rasterizer -...
- '<SYSTEM32>\cmd.exe' /c powershell -WindowStyle Hidden -Command "Compress-Archive -Force -Path '%TEMP%\SData_Output_901296\*' -DestinationPath '%TEMP%\data-Unknown-Unknown.zip'"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "Compress-Archive -Force -Path '%TEMP%\SData_Output_901296\*' -DestinationPath '%TEMP%\data-Unknown-Unknown.zip'"
