Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /PID 1216
- '%WINDIR%\syswow64\taskkill.exe' /F /PID 1328
- '%WINDIR%\syswow64\taskkill.exe' /F /PID 4308
- '%WINDIR%\syswow64\taskkill.exe' /F /PID 4588
- '%WINDIR%\syswow64\taskkill.exe' /F /PID 4980
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
Изменения в файловой системе
Создает следующие файлы
- nul
- %TEMP%\firefox_history_3364017904.db
- %TEMP%\history_344866319.db
- %TEMP%\login_4148748997.db
- %TEMP%\firefox_history_3364017904.db-shm
- %TEMP%\firefox_history_3349652981.db
- %TEMP%\history_3576707909.db
- %TEMP%\history_2567772054.db
- %TEMP%\firefox_history_685116475.db
- %TEMP%\login_3959455574.db
- %TEMP%\login_941716279.db
- %TEMP%\firefox_history_685116475.db-shm
- %TEMP%\data_3751858659\history.txt
- %TEMP%\data_3751858659\passwords.txt
- %TEMP%\data_3751858659\history.json
- %TEMP%\data_3751858659\passwords.json
- %TEMP%\data_3751858659_wnprdkr.zip
Удаляет файлы, которые сам же создал
- %TEMP%\history_2567772054.db
- %TEMP%\history_3576707909.db
- %TEMP%\history_344866319.db
- %TEMP%\login_941716279.db
- %TEMP%\login_3959455574.db
- %TEMP%\login_4148748997.db
- %TEMP%\firefox_history_685116475.db-shm
- %TEMP%\firefox_history_685116475.db
- %TEMP%\firefox_history_3349652981.db
- %TEMP%\firefox_history_3364017904.db-shm
- %TEMP%\firefox_history_3364017904.db
- %TEMP%\data_3751858659\history.json
- %TEMP%\data_3751858659\history.txt
- %TEMP%\data_3751858659\passwords.json
- %TEMP%\data_3751858659\passwords.txt
- %TEMP%\data_3751858659_wnprdkr.zip
Сетевая активность
Подключается к
- 'ap#.##legram.org':443
TCP
Другие
- 'ap#.##legram.org':443
UDP
- DNS ASK ap#.##legram.org
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C tasklist
- '%WINDIR%\syswow64\tasklist.exe'
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill /F /PID 1216"
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill /F /PID 1328"
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill /F /PID 4308"
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill /F /PID 4588"
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill /F /PID 4980"
