Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\cookies_2.temp
- %TEMP%\login data_1.temp
- %TEMP%\session storage_9.temp\current
- %TEMP%\session storage_9.temp\log
- %TEMP%\session storage_9.temp\manifest-000001
- %TEMP%\web data_7.temp
- %TEMP%\local state_0.temp
- %TEMP%\history_4.temp
- %TEMP%\history_5.temp
- %TEMP%\secure preferences_10.temp
- %TEMP%\web data_6.temp
- %TEMP%\web data_11.temp
- %TEMP%\web data_12.temp
- %TEMP%\session storage_9.temp\manifest-000005
- %TEMP%\session storage_9.temp\current.bak
- %TEMP%\session storage_9.temp\current.5
- %TEMP%\session storage_9.temp\000004.log
- %TEMP%\local storage\leveldb_8.temp\current
- %TEMP%\local storage\leveldb_8.temp\log
- %TEMP%\local storage\leveldb_8.temp\manifest-000001
- %TEMP%\local storage\leveldb_8.temp\manifest-000005
- %TEMP%\local storage\leveldb_8.temp\current.bak
- %TEMP%\local storage\leveldb_8.temp\current.5
- %TEMP%\local storage\leveldb_8.temp\000004.log
- %TEMP%\extensions.json_26.temp
- %TEMP%\key4.db_16.temp
- %TEMP%\places.sqlite_19.temp
- %TEMP%\places.sqlite_20.temp
- %TEMP%\places.sqlite_21.temp
- %TEMP%\webappsstore.sqlite_24.temp
- %TEMP%\cookies.sqlite_18.temp
Удаляет файлы, которые сам же создал
- %TEMP%\local state_0.temp
- %TEMP%\web data_7.temp
- %TEMP%\web data_6.temp
- %TEMP%\web data_12.temp
- %TEMP%\cookies_2.temp
- %TEMP%\login data_1.temp
- %TEMP%\history_4.temp
- %TEMP%\web data_11.temp
- %TEMP%\session storage_9.temp\manifest-000001
- %TEMP%\session storage_9.temp\000004.log
- %TEMP%\session storage_9.temp\current
- %TEMP%\session storage_9.temp\current.bak
- %TEMP%\session storage_9.temp\log
- %TEMP%\session storage_9.temp\manifest-000005
- %TEMP%\history_5.temp
- %TEMP%\secure preferences_10.temp
- %TEMP%\local storage\leveldb_8.temp\manifest-000001
- %TEMP%\local storage\leveldb_8.temp\000004.log
- %TEMP%\local storage\leveldb_8.temp\current
- %TEMP%\local storage\leveldb_8.temp\current.bak
- %TEMP%\local storage\leveldb_8.temp\log
- %TEMP%\local storage\leveldb_8.temp\manifest-000005
- %TEMP%\key4.db_16.temp
Перемещает следующие файлы
- %TEMP%\session storage_9.temp\current.5 в %TEMP%\session storage_9.temp\current
- %TEMP%\local storage\leveldb_8.temp\current.5 в %TEMP%\local storage\leveldb_8.temp\current
Подменяет следующие файлы
- %TEMP%\web data_7.temp
- %TEMP%\web data_12.temp
- %TEMP%\history_5.temp
- %TEMP%\login data_1.temp
- %TEMP%\secure preferences_10.temp
- %TEMP%\web data_11.temp
- %TEMP%\local state_0.temp
- %TEMP%\history_4.temp
- %TEMP%\web data_6.temp
Сетевая активность
Подключается к
- '51.##.99.224':443
- '98.##9.110.118':443
UDP
- DNS ASK ap#.#pify.org
- DNS ASK ap###.ipify.org
- DNS ASK ip##i.co
Другое
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Invoke-CimMethod -ClassName Win32_ShadowCopy -MethodName Create -Arguments @{Volume=\"C:\\\"; Context=\"ClientAccessible\"}" (со скрытым окном)
- '<SYSTEM32>\systeminfo.exe' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Get-WmiObject Win32_Processor | Select-Object -ExpandProperty Name" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Get-WmiObject Win32_Processor | Select-Object -ExpandProperty NumberOfCores" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Get-WmiObject Win32_VideoController | Select-Object -ExpandProperty Name" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Get-WmiObject Win32_OperatingSystem | Select-Object -ExpandProperty TotalVisibleMemorySize" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Get-CimInstance Win32_VideoController | Where-Object { $_.CurrentHorizontalResolution -gt 0 -and $_.CurrentVerticalResolution -gt 0 } | Select-Object Name, CurrentHorizontalResolution... (со скрытым окном)
