Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'Load' = '"<Полный путь к файлу>"'
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- msedge.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\mozilla\firefox\profiles.ini
- %HOMEPATH%\desktop\garden.htm
- %HOMEPATH%\desktop\trivial-merge.htm
- %APPDATA%\thunderbird\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\output\securesettingsmigration\thunderbird\crash reports\installtime20210406220621
- <Текущая директория>\output\securesettingsmigration\thunderbird\installs.ini
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\b376zl1q.default\times.json
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\abook.sqlite
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\addons.json
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\addonstartup.json.lz4
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\blist.sqlite
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\cert9.db
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\compatibility.ini
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\cookies.sqlite
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\crashes\store.json.mozlz4
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\datareporting\archived\2024-08\1723427186027.740f65ac-6c92-4860-a433-5c4acb1df428.new-profile.j...
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\datareporting\archived\2024-08\1723427186364.ea3bd3ee-1392-479f-ab3c-37fb050509c4.main.jsonlz4
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\datareporting\archived\2024-08\1723427186367.5fb935d8-7cd4-40ee-aeeb-ffd7037d7c83.first-shutdow...
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\datareporting\session-state.json
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\datareporting\state.json
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\directorytree.json
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\enigmail.sqlite
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\extension-preferences.json
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\extensions.json
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\favicons.sqlite
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\formhistory.sqlite
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\global-messages-db.sqlite
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\history.sqlite
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\key4.db
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\mailviews.dat
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\openpgp.sqlite
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\permissions.sqlite
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\pkcs11.txt
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\places.sqlite
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\prefs.js
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\saved-telemetry-pings\5fb935d8-7cd4-40ee-aeeb-ffd7037d7c83
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\saved-telemetry-pings\740f65ac-6c92-4860-a433-5c4acb1df428
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\saved-telemetry-pings\ea3bd3ee-1392-479f-ab3c-37fb050509c4
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\search.json.mozlz4
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\sessioncheckpoints.json
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\storage\permanent\chrome\.metadata-v2
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\storage\permanent\chrome\idb\3870112724rsegmnoittet-es.sqlite
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\storage.sqlite
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\times.json
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\webappsstore.sqlite
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles\gbmwccb6.default-release\xulstore.json
- <Текущая директория>\output\securesettingsmigration\thunderbird\profiles.ini
- <Текущая директория>\output\postextractionreports\readme.txt
- <Текущая директория>\output\postextractionreports\99_server_zip_paths.txt
- <Текущая директория>\output\postextractionreports\00_system_information.txt
- <Текущая директория>\output\postextractionreports\01_openssh.txt
- <Текущая директория>\output\postextractionreports\02_aws_style_credentials.txt
- <Текущая директория>\output\postextractionreports\03_gcp_service_accounts.txt
- <Текущая директория>\output\postextractionreports\04_azure_credentials.txt
- <Текущая директория>\output\postextractionreports\05_dotenv_harvest.txt
- <Текущая директория>\output\postextractionreports\06_bip39_mnemonic_scan.txt
Изменяет следующие файлы
Сетевая активность
Подключается к
- 'ip##pi.com':80
- '13#.#43.152.105':80
- 'localhost':49695
- 'ra#.####ubusercontent.com':443
- 'x1.#.lencr.org':80
TCP
Запросы HTTP GET
Другие
- 'localhost':49695
- 'localhost':49696
- 'ra#.####ubusercontent.com':443
UDP
- DNS ASK ip##pi.com
- DNS ASK ra#.####ubusercontent.com
- DNS ASK x1.#.lencr.org
Другое
Запускает на исполнение
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe'
