Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /T /IM chrome.exe /IM msedge.exe /IM opera.exe /IM vivaldi.exe /IM chromium.exe /IM yandex.exe /IM iridium.exe /IM slimjet.exe /IM torch.exe /IM coccoc.exe /IM centbrowser.exe /IM elements-b...
- '<SYSTEM32>\taskkill.exe' /F /T /IM Teams.exe /IM Skype.exe /IM Zoom.exe /IM Viber.exe /IM LINE.exe /IM WeChat.exe /IM KakaoTalk.exe /IM QQ.exe /IM Messenger.exe /IM Wickr.exe /IM Element.exe /IM Riot.exe /IM Threema.ex...
- '<SYSTEM32>\taskkill.exe' /F /T /IM NordPass.exe /IM Keeper.exe /IM "Sticky Password.exe" /IM NordVPN.exe /IM ExpressVPN.exe /IM Surfshark.exe /IM CyberGhost.exe /IM ProtonVPN.exe /IM Windscribe.exe /IM TunnelBear.exe /...
- '<SYSTEM32>\taskkill.exe' /F /T /IM eclipse.exe /IM FileZilla.exe /IM qBittorrent.exe /IM uTorrent.exe /IM Transmission.exe /IM "Authy Desktop.exe" /IM "Microsoft Authenticator.exe" /IM WinSCP.exe /IM PuTTY.exe /IM Note...
Внедряет код в
следующие пользовательские процессы:
- msedge.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %HOMEPATH%\desktop\sdksampleunprivdeveloper.cer
- %HOMEPATH%\desktop\testcertificate.cer
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\tree_view.htm
- %HOMEPATH%\desktop\about.htm
- %HOMEPATH%\desktop\advice_process.htm
- %HOMEPATH%\desktop\alert.htm
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\logs\backup_log.txt
- <Текущая директория>\output\.tmpbkp6o6
- %TEMP%\elv_61c30197-3043-4d48-b8ec-7fd036f8f2d0.exe
- %TEMP%\hist_4f47fa36-918c-46b5-af37-f829b2c2f581.db
- %TEMP%\dl_a3f40517-d193-46a0-8dbb-b2d8c3cfcb27.db
- %TEMP%\auto_56c74168-a786-4de3-beb2-3eef4a6e7c23.db
- %TEMP%\hist_f9da5835-44a7-4205-9d3f-a43967945193.db
- %TEMP%\dl_421fbc10-24c8-459a-9bf7-523b2b414327.db
- %TEMP%\auto_4c80fa3f-9400-4010-865b-ac8e63a344a2.db
- %TEMP%\cookies_a6888638-d7c9-4b14-ab22-be092ff1a6c5.db
- %TEMP%\cookies_a6888638-d7c9-4b14-ab22-be092ff1a6c5.db-shm
- %TEMP%\hist_09fd5418-523f-414e-9e5d-1cd260466840.db
- %TEMP%\hist_09fd5418-523f-414e-9e5d-1cd260466840.db-shm
- %TEMP%\dl_62dbd598-4a44-4b01-a786-4def99ba5294.db
- %TEMP%\dl_62dbd598-4a44-4b01-a786-4def99ba5294.db-shm
- %TEMP%\bm_8fd6a690-093f-443c-9509-e91dd89d67b8.db
- %TEMP%\bm_8fd6a690-093f-443c-9509-e91dd89d67b8.db-shm
- %TEMP%\perm_91915156-7a23-4d13-93ee-ad32611b9ca2.db
- %TEMP%\form_20da3257-5da8-45ee-b89f-c9db854da711.db
- %TEMP%\cookies_8586dc34-4a63-4f69-8a96-77fdbd00d3ef.db
- %TEMP%\cookies_8586dc34-4a63-4f69-8a96-77fdbd00d3ef.db-shm
- %TEMP%\hist_601693cd-5223-4836-b566-9e5679bd4f5e.db
- %TEMP%\hist_601693cd-5223-4836-b566-9e5679bd4f5e.db-shm
- %TEMP%\dl_bff48210-d946-4ed1-80f1-d8c706a2f090.db
- %TEMP%\dl_bff48210-d946-4ed1-80f1-d8c706a2f090.db-shm
- %TEMP%\bm_980964ab-7507-48b5-bfa5-5a5007e9406d.db
- %TEMP%\bm_980964ab-7507-48b5-bfa5-5a5007e9406d.db-shm
- %TEMP%\perm_9ab2f841-3dc6-4579-ab14-5424d592e348.db
- %TEMP%\form_27a9bc15-ee74-4f8a-b5a9-d9f33fdd5172.db
- <Текущая директория>\output\backup_20260227_071533.zip
- %TEMP%\sd_0588f55c-299f-493c-81a6-3735f4b710ec.bat
- nul
Удаляет файлы, которые сам же создал
- <Текущая директория>\output\.tmpbkp6o6
- %TEMP%\elv_61c30197-3043-4d48-b8ec-7fd036f8f2d0.exe
- %TEMP%\cookies_a6888638-d7c9-4b14-ab22-be092ff1a6c5.db-shm
- %TEMP%\hist_09fd5418-523f-414e-9e5d-1cd260466840.db-shm
- %TEMP%\dl_62dbd598-4a44-4b01-a786-4def99ba5294.db-shm
- %TEMP%\bm_8fd6a690-093f-443c-9509-e91dd89d67b8.db-shm
- %TEMP%\cookies_8586dc34-4a63-4f69-8a96-77fdbd00d3ef.db-shm
- %TEMP%\hist_601693cd-5223-4836-b566-9e5679bd4f5e.db-shm
- %TEMP%\dl_bff48210-d946-4ed1-80f1-d8c706a2f090.db-shm
- %TEMP%\bm_980964ab-7507-48b5-bfa5-5a5007e9406d.db-shm
- <Текущая директория>\output\backup_20260227_071533.zip
- <Текущая директория>\logs\backup_log.txt
- %TEMP%\cookies_8586dc34-4a63-4f69-8a96-77fdbd00d3ef.db
- %TEMP%\cookies_a6888638-d7c9-4b14-ab22-be092ff1a6c5.db
- %TEMP%\dl_421fbc10-24c8-459a-9bf7-523b2b414327.db
- %TEMP%\dl_62dbd598-4a44-4b01-a786-4def99ba5294.db
- %TEMP%\dl_a3f40517-d193-46a0-8dbb-b2d8c3cfcb27.db
- %TEMP%\dl_bff48210-d946-4ed1-80f1-d8c706a2f090.db
- %TEMP%\hist_09fd5418-523f-414e-9e5d-1cd260466840.db
- %TEMP%\hist_4f47fa36-918c-46b5-af37-f829b2c2f581.db
- %TEMP%\hist_601693cd-5223-4836-b566-9e5679bd4f5e.db
- %TEMP%\hist_f9da5835-44a7-4205-9d3f-a43967945193.db
Подменяет следующие файлы
- <Текущая директория>\logs\backup_log.txt
Сетевая активность
Подключается к
- '1.#.1.1':443
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\elv_61c30197-3043-4d48-b8ec-7fd036f8f2d0.exe' chrome -o temp_abe_output\chrome -v -f
- '%TEMP%\elv_61c30197-3043-4d48-b8ec-7fd036f8f2d0.exe' edge -o temp_abe_output\edge -v -f
- '%TEMP%\elv_61c30197-3043-4d48-b8ec-7fd036f8f2d0.exe' brave -o temp_abe_output\brave -v -f
Запускает на исполнение
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe'
- '<SYSTEM32>\systeminfo.exe'
- '<SYSTEM32>\tasklist.exe'
- '<SYSTEM32>\cmd.exe' /C %TEMP%\sd_0588f55c-299f-493c-81a6-3735f4b710ec.bat
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\timeout.exe' /t 1 /nobreak
- '<SYSTEM32>\cmd.exe' /c tasklist /fi "IMAGENAME eq <Имя файла>*" /fo csv | findstr /i "<Имя файла>"
- '<SYSTEM32>\tasklist.exe' /fi "IMAGENAME eq <Имя файла>*" /fo csv
- '<SYSTEM32>\findstr.exe' /i "<Имя файла>"
- '<SYSTEM32>\timeout.exe' /t 2 /nobreak
