Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- msedge.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\cookies
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\edge_gb_1587154601\crashpad\settings.dat
- %TEMP%\edge_gb_1587154601\crashpad\throttle_store.dat
- %TEMP%\edge_gb_1587154601\crashpadmetrics-active.pma
- nul
- %TEMP%\edge_gb_1587154601\default\chrome_debug.log
- %TEMP%\edge_gb_1587154601\default\code cache\js\index
- %TEMP%\edge_gb_1587154601\default\gpucache\index
- %TEMP%\edge_gb_1587154601\default\code cache\wasm\index
- %TEMP%\edge_gb_1587154601\default\gpucache\data_0
- %TEMP%\edge_gb_1587154601\default\gpucache\data_1
- %TEMP%\edge_gb_1587154601\default\gpucache\data_2
- %TEMP%\edge_gb_1587154601\default\gpucache\data_3
- %TEMP%\edge_gb_1587154601\default\code cache\wasm\index-dir\temp-index
- %TEMP%\edge_gb_1587154601\default\code cache\js\index-dir\temp-index
- %LOCALAPPDATA%\microsoft\edge\user data\devtoolsactiveport
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\index
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\data_0
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\data_2
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\data_3
- %LOCALAPPDATA%\microsoft\edge\user data\default\cookies-journal
- %LOCALAPPDATA%\microsoft\edge\user data\default\cookies
- %TEMP%\2991443154.db
- %TEMP%\996080979.db
- %TEMP%\509275179.db
- %TEMP%\3832939405.db
- %TEMP%\1655316653.db
- %TEMP%\1655316653.db-shm
- %TEMP%\collect-1780185912.zip
Удаляет файлы, которые сам же создал
- %TEMP%\edge_gb_1587154601\crashpad\settings.dat
- %TEMP%\edge_gb_1587154601\crashpad\throttle_store.dat
- %TEMP%\edge_gb_1587154601\crashpadmetrics-active.pma
- %TEMP%\edge_gb_1587154601\default\chrome_debug.log
- %TEMP%\edge_gb_1587154601\default\code cache\js\index
- %TEMP%\edge_gb_1587154601\default\code cache\js\index-dir\the-real-index
- %TEMP%\edge_gb_1587154601\default\code cache\wasm\index
- %TEMP%\edge_gb_1587154601\default\code cache\wasm\index-dir\the-real-index
- %TEMP%\edge_gb_1587154601\default\gpucache\data_0
- %TEMP%\edge_gb_1587154601\default\gpucache\data_1
- %TEMP%\edge_gb_1587154601\default\gpucache\data_2
- %TEMP%\edge_gb_1587154601\default\gpucache\data_3
- %TEMP%\edge_gb_1587154601\default\gpucache\index
- %TEMP%\2991443154.db
- %TEMP%\996080979.db
- %TEMP%\509275179.db
- %TEMP%\3832939405.db
- %TEMP%\1655316653.db-shm
- %TEMP%\1655316653.db
- %TEMP%\collect-1780185912.zip
Перемещает следующие файлы
- %TEMP%\edge_gb_1587154601\default\code cache\wasm\index-dir\temp-index в %TEMP%\edge_gb_1587154601\default\code cache\wasm\index-dir\the-real-index
- %TEMP%\edge_gb_1587154601\default\code cache\js\index-dir\temp-index в %TEMP%\edge_gb_1587154601\default\code cache\js\index-dir\the-real-index
Сетевая активность
Подключается к
- 'gi##.###hubusercontent.com':443
- 'x1.#.lencr.org':80
- 'ch############i-benefit-lenses.trycloudflare.com':443
- 'localhost':9224
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Другие
- 'gi##.###hubusercontent.com':443
- 'ch############i-benefit-lenses.trycloudflare.com':443
- 'localhost':49709
- 'localhost':49710
UDP
- DNS ASK gi##.###hubusercontent.com
- DNS ASK x1.#.lencr.org
- DNS ASK ch############i-benefit-lenses.trycloudflare.com
Другое
Запускает на исполнение
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --headless=new --user-data-dir=%TEMP%\edge_gb_1587154601 --no-first-run --no-default-browser-check --disable-extensions --disable-sync --no-sandbox about:blank (со скрытым окном)
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --remote-debugging-port=9224 "--user-data-dir=%LOCALAPPDATA%\Microsoft\Edge\User Data" --headless --disable-gpu --remote-allow-origins=* --no-sandbox --no-first-run --disable-extensions --disab... (со скрытым окном)
