Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- msedge.exe
Патчит код
в динамической библиотеке NTDLL
- Процесс snlesk.exe, модуль ntdll.dll
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\chromelevator_vlmza1es.exe
- %TEMP%\chrome_decrypt_vlmza1es.dll
- %TEMP%\chromelevator_xatki0lj.exe
- %TEMP%\chrome_decrypt_xatki0lj.dll
- %TEMP%\chromelevator_96rdukew.exe
- %TEMP%\chrome_decrypt_96rdukew.dll
- %TEMP%\chromelevator_zisfy2gb.exe
- %TEMP%\chrome_decrypt_zisfy2gb.dll
- %TEMP%\chromelevator_ygkyc4ls.exe
- %TEMP%\chrome_decrypt_ygkyc4ls.dll
- %TEMP%\chromelevator_xdoruh3h.exe
- %TEMP%\chrome_decrypt_xdoruh3h.dll
- %TEMP%\chromelevator_gkenj5w2.exe
- %TEMP%\chrome_decrypt_gkenj5w2.dll
- %TEMP%\chromelevator_uhm00hut.exe
- %TEMP%\chrome_decrypt_uhm00hut.dll
- %TEMP%\chromelevator_oslu1tx8.exe
- %TEMP%\chrome_decrypt_oslu1tx8.dll
- %TEMP%\r7zoc3xixv8tbcdc5nolfg9njk8zek\chrome_nuke_backup\login data
- %TEMP%\r7zoc3xixv8tbcdc5nolfg9njk8zek\chrome_nuke_backup\web data
- %TEMP%\r7zoc3xixv8tbcdc5nolfg9njk8zek\chrome_nuke_backup\local state
- %TEMP%\chromelevator_wwzhu0gt.exe
- %TEMP%\chrome_decrypt_wwzhu0gt.dll
- %TEMP%\microsoft_default_login_data
- %TEMP%\microsoft_default_webdata
- %TEMP%\opera software_opera stable_login_data
- %TEMP%\opera software_opera stable_webdata
- %TEMP%\sensfiles.zip
- %TEMP%\r7zoc3xixv8tbcdc5nolfg9njk8zek\sensfiles.zip
- %TEMP%\r7zoc3xixv8tbcdc5nolfg9njk8zek\user_info.txt
- %TEMP%\r7zoc3xixv8tbcdc5nolfg9njk8zek\screen1.png
- %TEMP%\out.zip
Удаляет файлы, которые сам же создал
- %TEMP%\chromelevator_vlmza1es.exe
- %TEMP%\chrome_decrypt_vlmza1es.dll
- %TEMP%\chromelevator_xatki0lj.exe
- %TEMP%\chrome_decrypt_xatki0lj.dll
- %TEMP%\chromelevator_96rdukew.exe
- %TEMP%\chrome_decrypt_96rdukew.dll
- %TEMP%\chromelevator_zisfy2gb.exe
- %TEMP%\chrome_decrypt_zisfy2gb.dll
- %TEMP%\chromelevator_ygkyc4ls.exe
- %TEMP%\chrome_decrypt_ygkyc4ls.dll
- %TEMP%\chromelevator_xdoruh3h.exe
- %TEMP%\chrome_decrypt_xdoruh3h.dll
- %TEMP%\chromelevator_gkenj5w2.exe
- %TEMP%\chrome_decrypt_gkenj5w2.dll
- %TEMP%\chromelevator_uhm00hut.exe
- %TEMP%\chrome_decrypt_uhm00hut.dll
- %TEMP%\chromelevator_oslu1tx8.exe
- %TEMP%\chrome_decrypt_oslu1tx8.dll
- %TEMP%\chromelevator_wwzhu0gt.exe
- %TEMP%\chrome_decrypt_wwzhu0gt.dll
- %TEMP%\out.zip
- %TEMP%\r7zoc3xixv8tbcdc5nolfg9njk8zek\chrome_nuke_backup\local state
- %TEMP%\r7zoc3xixv8tbcdc5nolfg9njk8zek\chrome_nuke_backup\login data
- %TEMP%\r7zoc3xixv8tbcdc5nolfg9njk8zek\chrome_nuke_backup\web data
- %TEMP%\r7zoc3xixv8tbcdc5nolfg9njk8zek\screen1.png
- %TEMP%\r7zoc3xixv8tbcdc5nolfg9njk8zek\sensfiles.zip
- %TEMP%\r7zoc3xixv8tbcdc5nolfg9njk8zek\user_info.txt
Изменяет следующие файлы
Сетевая активность
Подключается к
- 'ip##o.is':80
- 'ap#.##legram.org':443
TCP
Запросы HTTP GET
- /?ou######### via ip##o.is
UDP
- DNS ASK ip##o.is
- DNS ASK ap#.##legram.org
Другое
Создает и запускает на исполнение
- '%TEMP%\chromelevator_vlmza1es.exe' chrome %TEMP%\chrome_decrypt_VLMZa1ES.dll
- '%TEMP%\chromelevator_xatki0lj.exe' chrome %TEMP%\chrome_decrypt_XATKI0LJ.dll
- '%TEMP%\chromelevator_96rdukew.exe' chrome %TEMP%\chrome_decrypt_96RdUKEw.dll
- '%TEMP%\chromelevator_zisfy2gb.exe' chrome %TEMP%\chrome_decrypt_ZiSfy2gb.dll
- '%TEMP%\chromelevator_ygkyc4ls.exe' chrome %TEMP%\chrome_decrypt_yGkYC4ls.dll
- '%TEMP%\chromelevator_xdoruh3h.exe' chrome %TEMP%\chrome_decrypt_XdorUH3h.dll
- '%TEMP%\chromelevator_gkenj5w2.exe' chrome %TEMP%\chrome_decrypt_gkEnJ5W2.dll
- '%TEMP%\chromelevator_uhm00hut.exe' chrome %TEMP%\chrome_decrypt_uhm00HUT.dll
- '%TEMP%\chromelevator_oslu1tx8.exe' chrome %TEMP%\chrome_decrypt_Oslu1TX8.dll
- '%TEMP%\chromelevator_wwzhu0gt.exe' edge %TEMP%\chrome_decrypt_WWzhu0gT.dll
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "Set-MpPreference -ExclusionPath C:\\"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -NoLogo -Command "Get-Culture | Select -ExpandProperty DisplayName"
- '<SYSTEM32>\robocopy.exe' "%LOCALAPPDATA%\Google\Chrome\User Data\Default" %TEMP%\\R7zOC3xIXv8tbcDC5noLfg9NjK8ZEk\\chrome_nuke_backup "Login Data" "Login Data" /B /COPY:DAT /R:0 /W:0 /NP
- '<SYSTEM32>\robocopy.exe' "%LOCALAPPDATA%\Google\Chrome\User Data\Default\Network" %TEMP%\\R7zOC3xIXv8tbcDC5noLfg9NjK8ZEk\\chrome_nuke_backup Cookies Cookies /B /COPY:DAT /R:0 /W:0 /NP
- '<SYSTEM32>\cmd.exe' /C xcopy /Y /H /R /K /C "%LOCALAPPDATA%\Google\Chrome\User Data\Default\Network\Cookies" %TEMP%\\R7zOC3xIXv8tbcDC5noLfg9NjK8ZEk\\chrome_nuke_backup\Cookies
- '<SYSTEM32>\xcopy.exe' /Y /H /R /K /C "%LOCALAPPDATA%\Google\Chrome\User Data\Default\Network\Cookies" %TEMP%\\R7zOC3xIXv8tbcDC5noLfg9NjK8ZEk\\chrome_nuke_backup\Cookies
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "[System.IO.File]::ReadAllBytes('%LOCALAPPDATA%\Google\Chrome\User Data\Default\Network\Cookies') | [System.IO.File]::WriteAllBytes('%TEMP%\\R7zOC3xIXv8tbcDC5noLfg9NjK8ZEk\\chrome_nuke...
- '<SYSTEM32>\robocopy.exe' "%LOCALAPPDATA%\Google\Chrome\User Data\Default" %TEMP%\\R7zOC3xIXv8tbcDC5noLfg9NjK8ZEk\\chrome_nuke_backup "Web Data" "Web Data" /B /COPY:DAT /R:0 /W:0 /NP
- '<SYSTEM32>\robocopy.exe' "%LOCALAPPDATA%\Google\Chrome\User Data" %TEMP%\\R7zOC3xIXv8tbcDC5noLfg9NjK8ZEk\\chrome_nuke_backup "Local State" "Local State" /B /COPY:DAT /R:0 /W:0 /NP
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq chrome.exe" /NH
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe'
