Техническая информация
Вредоносные функции
Создает и запускает на исполнение
- '<Полный путь к файлу>' (загружен из сети Интернет)
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /IM "opera.exe" /F /T
- '<SYSTEM32>\taskkill.exe' /IM "launcher.exe" /F /T
Внедряет код в
следующие пользовательские процессы:
- msedge.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\windows\fonts\sysfont.exe
- %HOMEPATH%\.cache\pkg\386e7a520b143aa7b6fa1a28a0237391a938bbedd0b245733a3da3a215026a3f\@primno\dpapi\binding.gyp
- %HOMEPATH%\.cache\pkg\386e7a520b143aa7b6fa1a28a0237391a938bbedd0b245733a3da3a215026a3f\@primno\dpapi\license
- %HOMEPATH%\.cache\pkg\386e7a520b143aa7b6fa1a28a0237391a938bbedd0b245733a3da3a215026a3f\@primno\dpapi\package.json
- %HOMEPATH%\.cache\pkg\386e7a520b143aa7b6fa1a28a0237391a938bbedd0b245733a3da3a215026a3f\@primno\dpapi\readme.md
- %HOMEPATH%\.cache\pkg\386e7a520b143aa7b6fa1a28a0237391a938bbedd0b245733a3da3a215026a3f\@primno\dpapi\dist\index.d.ts
- %HOMEPATH%\.cache\pkg\386e7a520b143aa7b6fa1a28a0237391a938bbedd0b245733a3da3a215026a3f\@primno\dpapi\dist\index.js
- %HOMEPATH%\.cache\pkg\386e7a520b143aa7b6fa1a28a0237391a938bbedd0b245733a3da3a215026a3f\@primno\dpapi\node_modules\.bin\node-gyp-build
- %HOMEPATH%\.cache\pkg\386e7a520b143aa7b6fa1a28a0237391a938bbedd0b245733a3da3a215026a3f\@primno\dpapi\node_modules\.bin\node-gyp-build-optional
- %HOMEPATH%\.cache\pkg\386e7a520b143aa7b6fa1a28a0237391a938bbedd0b245733a3da3a215026a3f\@primno\dpapi\node_modules\.bin\node-gyp-build-optional.cmd
- %HOMEPATH%\.cache\pkg\386e7a520b143aa7b6fa1a28a0237391a938bbedd0b245733a3da3a215026a3f\@primno\dpapi\node_modules\.bin\node-gyp-build-optional.ps1
- %HOMEPATH%\.cache\pkg\386e7a520b143aa7b6fa1a28a0237391a938bbedd0b245733a3da3a215026a3f\@primno\dpapi\node_modules\.bin\node-gyp-build-test
- %HOMEPATH%\.cache\pkg\386e7a520b143aa7b6fa1a28a0237391a938bbedd0b245733a3da3a215026a3f\@primno\dpapi\node_modules\.bin\node-gyp-build-test.cmd
- %HOMEPATH%\.cache\pkg\386e7a520b143aa7b6fa1a28a0237391a938bbedd0b245733a3da3a215026a3f\@primno\dpapi\node_modules\.bin\node-gyp-build-test.ps1
- %HOMEPATH%\.cache\pkg\386e7a520b143aa7b6fa1a28a0237391a938bbedd0b245733a3da3a215026a3f\@primno\dpapi\node_modules\.bin\node-gyp-build.cmd
- %HOMEPATH%\.cache\pkg\386e7a520b143aa7b6fa1a28a0237391a938bbedd0b245733a3da3a215026a3f\@primno\dpapi\node_modules\.bin\node-gyp-build.ps1
- %HOMEPATH%\.cache\pkg\386e7a520b143aa7b6fa1a28a0237391a938bbedd0b245733a3da3a215026a3f\@primno\dpapi\prebuilds\win32-arm64\@primno+dpapi.node
- %HOMEPATH%\.cache\pkg\386e7a520b143aa7b6fa1a28a0237391a938bbedd0b245733a3da3a215026a3f\@primno\dpapi\prebuilds\win32-x64\@primno+dpapi.node
- %HOMEPATH%\.cache\pkg\386e7a520b143aa7b6fa1a28a0237391a938bbedd0b245733a3da3a215026a3f\@primno\dpapi\src\dpapi_addon.h
- %HOMEPATH%\.cache\pkg\386e7a520b143aa7b6fa1a28a0237391a938bbedd0b245733a3da3a215026a3f\@primno\dpapi\src\dpapi_not_supported.cpp
- %HOMEPATH%\.cache\pkg\386e7a520b143aa7b6fa1a28a0237391a938bbedd0b245733a3da3a215026a3f\@primno\dpapi\src\dpapi_win.cpp
- %HOMEPATH%\.cache\pkg\386e7a520b143aa7b6fa1a28a0237391a938bbedd0b245733a3da3a215026a3f\@primno\dpapi\src\main.cpp
- %HOMEPATH%\.cache\pkg\386e7a520b143aa7b6fa1a28a0237391a938bbedd0b245733a3da3a215026a3f\@primno\dpapi\test\dpapi.spec.ts
- %LOCALAPPDATA%\microsoft\edge\user data\devtoolsactiveport
- %LOCALAPPDATA%\microsoft\edge\user data\default\cookies-journal
- %LOCALAPPDATA%\microsoft\edge\user data\default\cookies
- %LOCALAPPDATA%\microsoft\edge\user data\default\cache\index
- %LOCALAPPDATA%\microsoft\edge\user data\default\cache\data_0
- %LOCALAPPDATA%\microsoft\edge\user data\default\cache\data_2
- %LOCALAPPDATA%\microsoft\edge\user data\default\cache\data_3
- %LOCALAPPDATA%\microsoft\edge\user data\default\chrome_debug.log
- %LOCALAPPDATA%\microsoft\edge\user data\default\cache\f_000001
- %LOCALAPPDATA%\microsoft\edge\user data\default\cache\f_000002
- %LOCALAPPDATA%\microsoft\edge\user data\default\code cache\js\317d126ea8ac5c71_0
- %LOCALAPPDATA%\microsoft\edge\user data\default\code cache\js\index-dir\temp-index
- %LOCALAPPDATA%\microsoft\edge\user data\default\session storage\manifest-000001
- %LOCALAPPDATA%\microsoft\edge\user data\default\session storage\000001.dbtmp
- %LOCALAPPDATA%\microsoft\edge\user data\default\session storage\log
- nul
- %APPDATA%\opera software\opera stable\login data_1772398051530.tmp
- %LOCALAPPDATA%\google\chrome\user data\default\login data_1772398051623.tmp
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data_1772398051709.tmp
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data_1772398051786.tmp
- %TEMP%\1772398055209.exe
- %APPDATA%\18b2292959704ad6c18893b7db277144.zip
Удаляет файлы, которые сам же создал
- %APPDATA%\opera software\opera stable\login data_1772398051530.tmp
- %LOCALAPPDATA%\google\chrome\user data\default\login data_1772398051623.tmp
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data_1772398051709.tmp
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data_1772398051786.tmp
- %TEMP%\1772398055209.exe
- %APPDATA%\18b2292959704ad6c18893b7db277144.zip
Перемещает следующие файлы
- %LOCALAPPDATA%\microsoft\edge\user data\default\session storage\000001.dbtmp в %LOCALAPPDATA%\microsoft\edge\user data\default\session storage\current
Сетевая активность
Подключается к
- '10#.#34.65.51':777
- 'localhost':5556
- 'mail.google.com':443
- 'accounts.google.com':443
- 'gs##tic.com':443
- '10#.#34.65.51':8080
TCP
Запросы HTTP GET
- http://10#.##4.65.51:777/download/rawaccel.exe via 10#.#34.65.51
- http://10#.##4.65.51:777/download/chromelevator.exe via 10#.#34.65.51
Запросы HTTP POST
- http://10#.##4.65.51:8080/about/sendRouter via 10#.#34.65.51
- http://10#.##4.65.51:8080/about/discord via 10#.#34.65.51
Другие
- 'localhost':49701
- 'mail.google.com':443
- 'accounts.google.com':443
- 'gs##tic.com':443
- 'fo###.gstatic.com':443
- '10#.#34.65.51':8080
UDP
- DNS ASK mail.google.com
- DNS ASK accounts.google.com
- DNS ASK gs##tic.com
- DNS ASK fo###.gstatic.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%LOCALAPPDATA%\microsoft\windows\fonts\sysfont.exe'
- '%TEMP%\1772398055209.exe'
Запускает на исполнение
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --disable-field-trial-config --disable-background-networking --disable-background-timer-throttling --disable-backgrounding-occluded-windows --disable-back-forward-cache --disable-breakpad --dis... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "taskkill /IM "opera.exe" /F /T >nul 2>&1" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "taskkill /IM "launcher.exe" /F /T >nul 2>&1" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c ""%TEMP%\1772398055209.exe"" (со скрытым окном)
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe'
- '%LOCALAPPDATA%\microsoft\windows\fonts\sysfont.exe' (со скрытым окном)
