Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\stealer.dll
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\.env
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\81d243bd2c585b0f4821__mypyc.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\_asyncio.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\_bz2.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\_cffi_backend.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\_ctypes.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\_decimal.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\_elementtree.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\_hashlib.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\_lzma.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\_multiprocessing.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\_overlapped.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\_queue.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\_socket.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\_sqlite3.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\_ssl.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\_uuid.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\_wmi.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\libcrypto-3.dll
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\libffi-8.dll
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\libssl-3.dll
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\pyexpat.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\python3.dll
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\python312.dll
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\pythoncom312.dll
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\pywintypes312.dll
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\select.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\sqlite3.dll
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\unicodedata.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\vcruntime140.dll
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\vcruntime140_1.dll
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\win32crypt.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\pil\_avif.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\pil\_imaging.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\pil\_imagingcms.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\pil\_imagingmath.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\pil\_webp.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\certifi\cacert.pem
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\charset_normalizer\cd.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\charset_normalizer\md.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\cryptography\hazmat\bindings\_rust.pyd
- %TEMP%\onefile_5052_235251_d1-b9r8uuv4\psutil\_psutil_windows.pyd
- %LOCALAPPDATA%\google\chrome\user data\default\login_data_temp.db
- %LOCALAPPDATA%\google\chrome\user data\default\cookies_temp.db
- %LOCALAPPDATA%\google\chrome\user data\default\history_temp.db
- %LOCALAPPDATA%\microsoft\edge\user data\default\login_data_temp.db
- %LOCALAPPDATA%\microsoft\edge\user data\default\history_temp.db
Удаляет файлы, которые сам же создал
- %LOCALAPPDATA%\google\chrome\user data\default\login_data_temp.db
- %LOCALAPPDATA%\google\chrome\user data\default\cookies_temp.db
- %LOCALAPPDATA%\google\chrome\user data\default\history_temp.db
- %LOCALAPPDATA%\microsoft\edge\user data\default\login_data_temp.db
- %LOCALAPPDATA%\microsoft\edge\user data\default\history_temp.db
Сетевая активность
UDP
- DNS ASK ap#.##legram.org
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "ver" (со скрытым окном)
- '<SYSTEM32>\netstat.exe' -ano
- '<SYSTEM32>\driverquery.exe'
- '<SYSTEM32>\wbem\wmic.exe' csproduct get name
- '<SYSTEM32>\netsh.exe' wlan show profiles
