Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- msedge.exe
- launcher.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
- %APPDATA%\mozilla\firefox\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\gonegonegone.jpg
- %TEMP%\tmp2f97.tmp
- %TEMP%\tmp2fa8.tmp
- %TEMP%\tmp2fa9.tmp
- %TEMP%\tmp2faa.tmp
- %TEMP%\tmp2fab.tmp
- %TEMP%\tmp318b.tmp
- %TEMP%\tmp34eb.tmp
- %TEMP%\tmp34ec.tmp
- %TEMP%\tmp7070.tmp
- %TEMP%\tmp7090.tmp
- %TEMP%\tmp7090.tmp-shm
- %TEMP%\tmp70c0.tmp
- %TEMP%\tmp70c0.tmp-shm
- %TEMP%\tmp716d.tmp
- %TEMP%\tmp719d.tmp
Удаляет файлы, которые сам же создал
- %TEMP%\tmp318b.tmp
- %TEMP%\tmp2fab.tmp
- %TEMP%\tmp2f97.tmp
- %TEMP%\tmp2fa8.tmp
- %TEMP%\tmp2fa9.tmp
- %TEMP%\tmp2faa.tmp
- %TEMP%\tmp34ec.tmp
- %TEMP%\tmp34eb.tmp
- %TEMP%\tmp7070.tmp
- %TEMP%\tmp7090.tmp
- %TEMP%\tmp70c0.tmp
- %TEMP%\tmp716d.tmp
- %TEMP%\tmp719d.tmp
Другое
Ищет следующие окна
- ClassName: 'NarratorUIClass' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\svchost.exe' -k appmodel -p -s camsvc
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --headless=new --disable-gpu --remote-debugging-port=9222 --disable-background-timer-throttling
- '%ProgramFiles(x86)%\opera\launcher.exe' --headless=new --disable-gpu --remote-debugging-port=9222 --disable-background-timer-throttling
