Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\microsoftedgeupdatetaskmachineua145.4.9025.40{31df78a7_b85f_4ef7_a3e1_3989f78ec2ea}
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\tracerpt.exe
- %WINDIR%\syswow64\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-23i3ndt224.tmp\<Имя файла>.tmp
- %TEMP%\is-krri7hanjt.tmp\_isetup\_setup64.tmp
- %APPDATA%\greencobalt\is-p36lffy604.tmp
- %APPDATA%\greencobalt\is-qk4gxb0h2w.tmp
- %APPDATA%\greencobalt\is-bok9gwye38.tmp
- %APPDATA%\greencobalt\is-vmfqr80v4g.tmp
- %TEMP%\is-krri7hanjt.tmp\is-4293a022ar.tmp
- %TEMP%\is-krri7hanjt.tmp\is-dobg6ulcso.tmp
- %TEMP%\is-krri7hanjt.tmp\is-qk1rhpdap7.tmp
- %TEMP%\is-krri7hanjt.tmp\is-yz00izfq69.tmp
- %TEMP%\is-krri7hanjt.tmp\is-mylsnwr7q6.tmp
- %TEMP%\is-krri7hanjt.tmp\is-ijzpk2a7gy.tmp
- %TEMP%\is-krri7hanjt.tmp\is-0m4acfm3o8.tmp
- %TEMP%\is-krri7hanjt.tmp\is-y0xik7n2az.tmp
- %TEMP%\is-krri7hanjt.tmp\is-7e1mp0udw2.tmp
- %TEMP%\is-krri7hanjt.tmp\is-r1iu2o5mmx.tmp
- %HOMEPATH%\7c9f2e84.dat
- %ALLUSERSPROFILE%\displaysessioncontainers.log
Удаляет файлы, которые сам же создал
- %TEMP%\is-krri7hanjt.tmp\ycylm2uw6p.lgi
- %TEMP%\is-krri7hanjt.tmp\8aibbloy18.byv
- %TEMP%\is-krri7hanjt.tmp\bbvdntgo3z.cri
- %TEMP%\is-krri7hanjt.tmp\6ssserra67.xcd
- %TEMP%\is-krri7hanjt.tmp\i0b0ubenyc.pfc
- %TEMP%\is-krri7hanjt.tmp\3zrmqrb44s.mbd
- %TEMP%\is-krri7hanjt.tmp\jswxlsv756.aek
- %TEMP%\is-krri7hanjt.tmp\n5qkqf5os6.fey
- %TEMP%\is-krri7hanjt.tmp\360base64.dll
- %TEMP%\is-krri7hanjt.tmp\360base.dll
- %TEMP%\is-krri7hanjt.tmp\_isetup\_setup64.tmp
- %TEMP%\is-23i3ndt224.tmp\<Имя файла>.tmp
Перемещает следующие файлы
- %APPDATA%\greencobalt\is-p36lffy604.tmp в %APPDATA%\greencobalt\appwiz.cpl
- %APPDATA%\greencobalt\is-qk4gxb0h2w.tmp в %APPDATA%\greencobalt\fondue.exe
- %APPDATA%\greencobalt\is-bok9gwye38.tmp в %APPDATA%\greencobalt\jdvndqvoydutq.nxptqq
- %APPDATA%\greencobalt\is-vmfqr80v4g.tmp в %APPDATA%\greencobalt\vulkan-1.dll
- %TEMP%\is-krri7hanjt.tmp\is-4293a022ar.tmp в %TEMP%\is-krri7hanjt.tmp\ycylm2uw6p.lgi
- %TEMP%\is-krri7hanjt.tmp\is-dobg6ulcso.tmp в %TEMP%\is-krri7hanjt.tmp\8aibbloy18.byv
- %TEMP%\is-krri7hanjt.tmp\is-qk1rhpdap7.tmp в %TEMP%\is-krri7hanjt.tmp\bbvdntgo3z.cri
- %TEMP%\is-krri7hanjt.tmp\is-yz00izfq69.tmp в %TEMP%\is-krri7hanjt.tmp\6ssserra67.xcd
- %TEMP%\is-krri7hanjt.tmp\is-mylsnwr7q6.tmp в %TEMP%\is-krri7hanjt.tmp\i0b0ubenyc.pfc
- %TEMP%\is-krri7hanjt.tmp\is-ijzpk2a7gy.tmp в %TEMP%\is-krri7hanjt.tmp\3zrmqrb44s.mbd
- %TEMP%\is-krri7hanjt.tmp\is-0m4acfm3o8.tmp в %TEMP%\is-krri7hanjt.tmp\jswxlsv756.aek
- %TEMP%\is-krri7hanjt.tmp\is-y0xik7n2az.tmp в %TEMP%\is-krri7hanjt.tmp\n5qkqf5os6.fey
- %TEMP%\is-krri7hanjt.tmp\is-7e1mp0udw2.tmp в %TEMP%\is-krri7hanjt.tmp\360base64.dll
- %TEMP%\is-krri7hanjt.tmp\is-r1iu2o5mmx.tmp в %TEMP%\is-krri7hanjt.tmp\360base.dll
Сетевая активность
Подключается к
- '19#.#29.116.233':443
- 'localhost':80
TCP
Другие
- '19#.#29.116.233':443
Другое
Создает и запускает на исполнение
- '%TEMP%\is-23i3ndt224.tmp\<Имя файла>.tmp' /SL5="$E01DC,8107679,836096,<Полный путь к файлу>"
- '%APPDATA%\greencobalt\fondue.exe' /DoScan
Запускает на исполнение
- '%WINDIR%\syswow64\regsvr32.exe' /u %APPDATA%\GreenCobalt\APPWIZ.CPL /safeinit
- '%WINDIR%\syswow64\tracerpt.exe' (со скрытым окном)
- '%WINDIR%\syswow64\svchost.exe' (со скрытым окном)
- '%APPDATA%\greencobalt\fondue.exe' /DoScan (со скрытым окном)
