Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- overkot.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nssaae7.tmp\system.dll
- %TEMP%\nssaae7.tmp\stdutils.dll
- %TEMP%\nssaae7.tmp\spiderbanner.dll
- %TEMP%\nssaae7.tmp\nsexec.dll
- %TEMP%\nssaae7.tmp\app-64.7z
- %TEMP%\nssaae7.tmp\nsis7z.dll
- %TEMP%\nssaae7.tmp\7z-out\chrome_100_percent.pak
- %TEMP%\nssaae7.tmp\7z-out\chrome_200_percent.pak
- %TEMP%\nssaae7.tmp\7z-out\icudtl.dat
- %TEMP%\nssaae7.tmp\7z-out\license.electron.txt
- %TEMP%\nssaae7.tmp\7z-out\licenses.chromium.html
- %TEMP%\nssaae7.tmp\7z-out\locales\de.pak
- %TEMP%\nssaae7.tmp\7z-out\locales\es.pak
- %TEMP%\nssaae7.tmp\7z-out\locales\fr.pak
- %TEMP%\nssaae7.tmp\7z-out\locales\it.pak
- %TEMP%\nssaae7.tmp\7z-out\locales\ja.pak
- %TEMP%\nssaae7.tmp\7z-out\locales\ko.pak
- %TEMP%\nssaae7.tmp\7z-out\locales\pl.pak
- %TEMP%\nssaae7.tmp\7z-out\locales\pt-br.pak
- %TEMP%\nssaae7.tmp\7z-out\locales\pt-pt.pak
- %TEMP%\nssaae7.tmp\7z-out\locales\ru.pak
- %TEMP%\nssaae7.tmp\7z-out\locales\tr.pak
- %TEMP%\nssaae7.tmp\7z-out\locales\zh-cn.pak
- %TEMP%\nssaae7.tmp\7z-out\locales\zh-tw.pak
- %TEMP%\nssaae7.tmp\7z-out\resources\.integrity
- %TEMP%\nssaae7.tmp\7z-out\resources\app-update.yml
- %TEMP%\nssaae7.tmp\7z-out\resources\app.asar
- %TEMP%\nssaae7.tmp\7z-out\resources.pak
- %TEMP%\nssaae7.tmp\7z-out\snapshot_blob.bin
- %TEMP%\nssaae7.tmp\7z-out\v8_context_snapshot.bin
- %TEMP%\nssaae7.tmp\7z-out\vk_swiftshader_icd.json
- %TEMP%\nssaae7.tmp\7z-out\d3dcompiler_47.dll
- %TEMP%\nssaae7.tmp\7z-out\dxcompiler.dll
- %TEMP%\nssaae7.tmp\7z-out\dxil.dll
- %TEMP%\nssaae7.tmp\7z-out\ffmpeg.dll
- %TEMP%\nssaae7.tmp\7z-out\libegl.dll
- %TEMP%\nssaae7.tmp\7z-out\libglesv2.dll
- %TEMP%\nssaae7.tmp\7z-out\overkot.exe
- %TEMP%\nssaae7.tmp\7z-out\resources\bin\hostservice.exe
- %TEMP%\nssaae7.tmp\7z-out\resources\elevate.exe
- %TEMP%\nssaae7.tmp\7z-out\vk_swiftshader.dll
- %TEMP%\nssaae7.tmp\7z-out\vulkan-1.dll
- %LOCALAPPDATA%\programs\overkot\chrome_100_percent.pak
- %LOCALAPPDATA%\programs\overkot\chrome_200_percent.pak
- %LOCALAPPDATA%\programs\overkot\d3dcompiler_47.dll
- %LOCALAPPDATA%\programs\overkot\dxcompiler.dll
- %LOCALAPPDATA%\programs\overkot\dxil.dll
- %LOCALAPPDATA%\programs\overkot\ffmpeg.dll
- %LOCALAPPDATA%\programs\overkot\icudtl.dat
- %LOCALAPPDATA%\programs\overkot\libegl.dll
- %LOCALAPPDATA%\programs\overkot\libglesv2.dll
- %LOCALAPPDATA%\programs\overkot\license.electron.txt
- %LOCALAPPDATA%\programs\overkot\licenses.chromium.html
- %LOCALAPPDATA%\programs\overkot\overkot.exe
- %LOCALAPPDATA%\programs\overkot\resources.pak
- %LOCALAPPDATA%\programs\overkot\snapshot_blob.bin
- %LOCALAPPDATA%\programs\overkot\v8_context_snapshot.bin
- %LOCALAPPDATA%\programs\overkot\vk_swiftshader.dll
- %LOCALAPPDATA%\programs\overkot\vk_swiftshader_icd.json
- %LOCALAPPDATA%\programs\overkot\vulkan-1.dll
- %LOCALAPPDATA%\programs\overkot\locales\de.pak
- %LOCALAPPDATA%\programs\overkot\locales\es.pak
- %LOCALAPPDATA%\programs\overkot\locales\fr.pak
- %LOCALAPPDATA%\programs\overkot\locales\it.pak
- %LOCALAPPDATA%\programs\overkot\locales\ja.pak
- %LOCALAPPDATA%\programs\overkot\locales\ko.pak
- %LOCALAPPDATA%\programs\overkot\locales\pl.pak
- %LOCALAPPDATA%\programs\overkot\locales\pt-br.pak
- %LOCALAPPDATA%\programs\overkot\locales\pt-pt.pak
- %LOCALAPPDATA%\programs\overkot\locales\ru.pak
- %LOCALAPPDATA%\programs\overkot\locales\tr.pak
- %LOCALAPPDATA%\programs\overkot\locales\zh-cn.pak
- %LOCALAPPDATA%\programs\overkot\locales\zh-tw.pak
- %LOCALAPPDATA%\programs\overkot\resources\.integrity
- %LOCALAPPDATA%\programs\overkot\resources\app-update.yml
- %LOCALAPPDATA%\programs\overkot\resources\app.asar
- %LOCALAPPDATA%\programs\overkot\resources\elevate.exe
- %LOCALAPPDATA%\programs\overkot\resources\bin\hostservice.exe
- %LOCALAPPDATA%\overkot-updater\installer.exe
- %LOCALAPPDATA%\programs\overkot\uninstall overkot.exe
- %APPDATA%\microsoft\windows\start menu\programs\overkot.lnk
- %TEMP%\nssaae7.tmp\winshell.dll
- %HOMEPATH%\desktop\overkot.lnk
- %LOCALAPPDATA%\overkot\bin\hostservice.exe
- %APPDATA%\overkot\code cache\js\index
- %APPDATA%\overkot\code cache\wasm\index
- %APPDATA%\overkot\code cache\js\index-dir\temp-index
- %APPDATA%\overkot\code cache\wasm\index-dir\temp-index
- %APPDATA%\overkot\local storage\leveldb\log
- %APPDATA%\overkot\local storage\leveldb\manifest-000001
- %APPDATA%\overkot\local storage\leveldb\000001.dbtmp
- %APPDATA%\overkot\local storage\leveldb\000003.log
- nul
- %APPDATA%\microsoft\spelling\en-us\default.dic
- %APPDATA%\microsoft\spelling\en-us\default.exc
- %APPDATA%\microsoft\spelling\en-us\default.acl
- %LOCALAPPDATA%\programs\overkot\debug.log
- %APPDATA%\overkot\shared dictionary\cache\index
- %APPDATA%\overkot\network\trust tokens-journal
- %APPDATA%\overkot\shared dictionary\db-journal
- %APPDATA%\overkot\network\trust tokens
- %APPDATA%\overkot\shared dictionary\cache\index-dir\temp-index
- %APPDATA%\overkot\shared dictionary\db
- %APPDATA%\overkot\.updaterid
- %APPDATA%\overkot\2f23302f-3052-453e-9cb9-f8dee530c717.tmp
- %LOCALAPPDATA%\overkot\lang\it.json
- %APPDATA%\overkot\9a283e5f-b24e-439a-9458-be538f61590d.tmp
- %LOCALAPPDATA%\overkot\lang\zh.json
- %LOCALAPPDATA%\overkot\lang\en.json
- %LOCALAPPDATA%\overkot\lang\pl.json
- %APPDATA%\overkot\network\1ae1e66d-45b0-4b76-8575-e30239277dfc.tmp
- %LOCALAPPDATA%\overkot\lang\pt.json
- %LOCALAPPDATA%\overkot\lang\es.json
- %APPDATA%\overkot\496ab253-2215-48c2-806e-29a2930c68b0.tmp
- %LOCALAPPDATA%\overkot\lang\tr.json
- %LOCALAPPDATA%\overkot\lang\ko.json
- %LOCALAPPDATA%\overkot\lang\fr.json
- %LOCALAPPDATA%\overkot\lang\de.json
- %LOCALAPPDATA%\overkot\lang\ja.json
- %LOCALAPPDATA%\overkot\lang\ru.json
- %LOCALAPPDATA%\overkot\cache\en-names.json
- %APPDATA%\overkot\dips-journal
- %APPDATA%\overkot\dips
- %APPDATA%\overkot\dips-wal
- %APPDATA%\overkot\gpucache\index
- %APPDATA%\overkot\gpucache\data_0
- %APPDATA%\overkot\gpucache\data_1
- %APPDATA%\overkot\gpucache\data_2
- %APPDATA%\overkot\gpucache\data_3
- %APPDATA%\overkot\dawnwebgpucache\index
- %APPDATA%\overkot\dawnwebgpucache\data_0
- %APPDATA%\overkot\dawnwebgpucache\data_1
- %APPDATA%\overkot\dawnwebgpucache\data_2
- %APPDATA%\overkot\dawnwebgpucache\data_3
- %APPDATA%\overkot\dawngraphitecache\index
- %APPDATA%\overkot\dawngraphitecache\data_0
- %APPDATA%\overkot\dawngraphitecache\data_1
- %APPDATA%\overkot\dawngraphitecache\data_2
- %APPDATA%\overkot\dawngraphitecache\data_3
- %TEMP%\033582c8-2b0c-4882-9fda-ea21dedbd0e9.tmp
Удаляет файлы, которые сам же создал
- %TEMP%\nssaae7.tmp\7z-out\chrome_100_percent.pak
- %TEMP%\nssaae7.tmp\7z-out\chrome_200_percent.pak
- %TEMP%\nssaae7.tmp\7z-out\d3dcompiler_47.dll
- %TEMP%\nssaae7.tmp\7z-out\dxcompiler.dll
- %TEMP%\nssaae7.tmp\7z-out\dxil.dll
- %TEMP%\nssaae7.tmp\7z-out\ffmpeg.dll
- %TEMP%\nssaae7.tmp\7z-out\icudtl.dat
- %TEMP%\nssaae7.tmp\7z-out\libegl.dll
- %TEMP%\nssaae7.tmp\7z-out\libglesv2.dll
- %TEMP%\nssaae7.tmp\7z-out\license.electron.txt
- %TEMP%\nssaae7.tmp\7z-out\licenses.chromium.html
- %TEMP%\nssaae7.tmp\7z-out\locales\de.pak
- %TEMP%\nssaae7.tmp\7z-out\locales\es.pak
- %TEMP%\nssaae7.tmp\7z-out\locales\fr.pak
- %TEMP%\nssaae7.tmp\7z-out\locales\it.pak
- %TEMP%\nssaae7.tmp\7z-out\locales\ja.pak
- %TEMP%\nssaae7.tmp\7z-out\locales\ko.pak
- %TEMP%\nssaae7.tmp\7z-out\locales\pl.pak
- %TEMP%\nssaae7.tmp\7z-out\locales\pt-br.pak
- %TEMP%\nssaae7.tmp\7z-out\locales\pt-pt.pak
- %TEMP%\nssaae7.tmp\7z-out\locales\ru.pak
- %TEMP%\nssaae7.tmp\7z-out\locales\tr.pak
- %TEMP%\nssaae7.tmp\7z-out\locales\zh-cn.pak
- %TEMP%\nssaae7.tmp\7z-out\locales\zh-tw.pak
- %TEMP%\nssaae7.tmp\7z-out\overkot.exe
- %TEMP%\nssaae7.tmp\7z-out\resources\.integrity
- %TEMP%\nssaae7.tmp\7z-out\resources\app-update.yml
- %TEMP%\nssaae7.tmp\7z-out\resources\app.asar
- %TEMP%\nssaae7.tmp\7z-out\resources\bin\hostservice.exe
- %TEMP%\nssaae7.tmp\7z-out\resources\elevate.exe
- %TEMP%\nssaae7.tmp\7z-out\resources.pak
- %TEMP%\nssaae7.tmp\7z-out\snapshot_blob.bin
- %TEMP%\nssaae7.tmp\7z-out\v8_context_snapshot.bin
- %TEMP%\nssaae7.tmp\7z-out\vk_swiftshader.dll
- %TEMP%\nssaae7.tmp\7z-out\vk_swiftshader_icd.json
- %TEMP%\nssaae7.tmp\7z-out\vulkan-1.dll
- %TEMP%\nssaae7.tmp\app-64.7z
- %TEMP%\nssaae7.tmp\nsexec.dll
- %TEMP%\nssaae7.tmp\nsis7z.dll
- %TEMP%\nssaae7.tmp\spiderbanner.dll
- %TEMP%\nssaae7.tmp\stdutils.dll
- %TEMP%\nssaae7.tmp\system.dll
- %TEMP%\nssaae7.tmp\winshell.dll
- %APPDATA%\overkot\dips-journal
Перемещает следующие файлы
- %APPDATA%\overkot\code cache\js\index-dir\temp-index в %APPDATA%\overkot\code cache\js\index-dir\the-real-index
- %APPDATA%\overkot\code cache\wasm\index-dir\temp-index в %APPDATA%\overkot\code cache\wasm\index-dir\the-real-index
- %APPDATA%\overkot\local storage\leveldb\000001.dbtmp в %APPDATA%\overkot\local storage\leveldb\current
- %APPDATA%\overkot\shared dictionary\cache\index-dir\temp-index в %APPDATA%\overkot\shared dictionary\cache\index-dir\the-real-index
- %APPDATA%\overkot\2f23302f-3052-453e-9cb9-f8dee530c717.tmp в %APPDATA%\overkot\local state
- %APPDATA%\overkot\9a283e5f-b24e-439a-9458-be538f61590d.tmp в %APPDATA%\overkot\preferences
- %APPDATA%\overkot\network\1ae1e66d-45b0-4b76-8575-e30239277dfc.tmp в %APPDATA%\overkot\network\network persistent state
Сетевая активность
Подключается к
- 're#####s.overkot.com':443
- 'ra#.####ubusercontent.com':443
TCP
Другие
- 're#####s.overkot.com':443
- 'ra#.####ubusercontent.com':443
UDP
- DNS ASK re#####s.overkot.com
- DNS ASK ra#.####ubusercontent.com
Другое
Ищет следующие окна
- ClassName: '#32770' WindowName: ''
- ClassName: 'SysListView32' WindowName: ''
Создает и запускает на исполнение
- '%LOCALAPPDATA%\programs\overkot\overkot.exe'
- '%LOCALAPPDATA%\programs\overkot\overkot.exe' --type=gpu-process --user-data-dir="%APPDATA%\overkot" --gpu-preferences=SAAAAAAAAADgAAAEAAAAAAAAAAAAAGAAAQAAAAAAAAAAAAAAAAAAAAIAAAAAAAAAAAAAAAAAAAAQAAAAAAAAABAAAAAAAAAACAAAAAAAAAAIAAAAAAAAAA==...
- '%LOCALAPPDATA%\programs\overkot\overkot.exe' --type=utility --utility-sub-type=network.mojom.NetworkService --lang --service-sandbox-type=none --user-data-dir="%APPDATA%\overkot" --field-trial-handle=1884,i,12816658585584135453,1391186097...
- '%LOCALAPPDATA%\programs\overkot\overkot.exe' --type=renderer --user-data-dir="%APPDATA%\overkot" --app-path="%LOCALAPPDATA%\Programs\overkot\resources\app.asar" --enable-sandbox --video-capture-use-gpu-memory-buffer --lang --device-scale-...
Запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -C "if (Get-Command Get-CimInstance -ErrorAction SilentlyContinue) { exit 0 } else { exit 1 }" (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -C "if ((Get-ExecutionPolicy -Scope Process) -eq 'Restricted') { exit 1 } else { exit 0 }" (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -C "if ((Get-CimInstance -ClassName Win32_Process | ? {$_.Path -and $_.Path.StartsWith('%LOCALAPPDATA%\Programs\overkot', 'CurrentCultureIgnoreCase')}).Count -gt 0) { exit 0 } else { exit 1 }" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "wmic process where "ProcessId=3256" get Name /format:list" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' process where "ProcessId=3256" get Name /format:list
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell -NoProfile -NonInteractive -ExecutionPolicy Bypass -Command " $sig = @' [DllImport("kernel32.dll")] public static extern bool IsDebuggerPresent(); [DllImport("kernel32.... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -ExecutionPolicy Bypass -Command " $sig = @' [DllImport("kernel32.dll")] public static extern bool IsDebuggerPresent(); [DllImport("kernel32.dll", SetLastError=tr...
- '<SYSTEM32>\cmd.exe' /d /s /c "tasklist /FO CSV /NH" (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FO CSV /NH
- '<SYSTEM32>\cmd.exe' /d /s /c "tasklist /FI "IMAGENAME eq soulframe.x64.exe" /FO CSV /NH" (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq soulframe.x64.exe" /FO CSV /NH
