Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
следующие пользовательские процессы:
- chrome.exe
- msedge.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [HKCU\Software\Microsoft\Internet Account Manager\Accounts]
- [HKCU\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
- [HKCU\Software\Martin Prikryl\WinSCP 2\Sessions]
- [HKCU\Software\FTPWare\CoreFTP\Sites]
- [HKCU\Software\SimonTatham\PuTTY\Sessions]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\mozilla\firefox\profiles.ini
- %APPDATA%\thunderbird\profiles.ini
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
- %TEMP%\etilqs_xt49kxwvjmtazsp
- %TEMP%\c353591c-74c3-42bf-b904-c3c01dacab4d.dmp
- %TEMP%\etilqs_jtboigh3jwrt7yt
- %TEMP%\etilqs_m4c8sadnesoa8wo
- %TEMP%\o_95d1331f.db
- %TEMP%\o_95d66137.db
- %TEMP%\o_a7d88e9a.db
- %TEMP%\o_248008cb.db
- %TEMP%\o_30161db2.db
- %TEMP%\o_30161db2.db-shm
- %TEMP%\o_2cd6673.db
- %TEMP%\o_2cd6673.db-shm
- %TEMP%\o_18f6737e.db
- %TEMP%\o_3bc2166.db
- %TEMP%\o_5278617d.db
- %TEMP%\o_16b9699b.db
- %TEMP%\o_16b9699b.db-shm
- %TEMP%\o_f377a58c.db
- %TEMP%\o_f377a58c.db-shm
- %TEMP%\o_8c37dde4.db
- %TEMP%\o_35c89d3c.db
- %TEMP%\o_211f49d1.db
- %TEMP%\o_2a18b0e7.db
- %TEMP%\o_bc42aa8e.db
Удаляет файлы, которые сам же создал
- %TEMP%\o_30161db2.db-shm
- %TEMP%\o_2cd6673.db-shm
- %TEMP%\o_16b9699b.db-shm
- %TEMP%\o_f377a58c.db-shm
Изменяет следующие файлы
- %LOCALAPPDATA%\google\chrome\application\debug.log
Подменяет следующие файлы
- %TEMP%\o_16b9699b.db-shm
- %TEMP%\o_f377a58c.db-shm
Сетевая активность
Подключается к
- 'ma###ummy.com':443
- 'x1.#.lencr.org':80
- 'ic###azip.com':443
- 'google.com':443
- 'tr######e.googleapis.com':443
- '10#.#72.232.71':5002
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Запросы HTTP POST
- / via 10#.#72.232.71
Другие
- 'ma###ummy.com':443
- 'ic###azip.com':443
- 'google.com':443
- 'clients2.google.com':443
- 'tr######e.googleapis.com':443
UDP
- DNS ASK ma###ummy.com
- DNS ASK x1.#.lencr.org
- DNS ASK ic###azip.com
- DNS ASK google.com
- DNS ASK clients2.google.com
- DNS ASK clients4.google.com
- DNS ASK tr######e.googleapis.com
Другое
Ищет следующие окна
- ClassName: 'Chrome_MessageWindow' WindowName: '%LOCALAPPDATA%\Google\Chrome\User Data'
Запускает на исполнение
- '<SYSTEM32>\svchost.exe'
- '<SYSTEM32>\netsh.exe' wlan show networks mode=bssid
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --headless --disable-gpu --no-first-run --noerrdialogs --no-sandbox
