Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'CsSqKjNsfkHU' = '"<SYSTEM32>\WindowsPowerShell\v1.0\powershell.exe" -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -File "%TEMP%\bu...
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "<Полный путь к файлу>"
Внедряет код в
следующие пользовательские процессы:
- msedge.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\cssqkjnsfkhu.exe
- %TEMP%\bumrryqjvxd.ps1
- %LOCALAPPDATA%\microsoft\clr_v4.0_32\usagelogs\<Имя файла>.exe.log
- %TEMP%\dumpbrowsersecrets.exe
- %TEMP%\tmp850a.tmp
- %TEMP%\tmp852a.tmp
- %TEMP%\tmp8579.tmp
- %TEMP%\tmp858a.tmp
- %TEMP%\tmp85f8.tmp
- %TEMP%\tmp85f9.tmp
- %TEMP%\tmp85fa.tmp
- %TEMP%\tmp85fb.tmp
- %TEMP%\dllextractchromiumsecrets.dll
- nul
- %TEMP%\tmp8aa8.tmp
- %TEMP%\edgedata.json
- %TEMP%\db1c11756e15d738bd34b9beba338633\pw_user_qivqktxgo_20260626_140626.html
- %TEMP%\tmp191c.tmp
- %TEMP%\tmp191d.tmp
- %TEMP%\tmp192e.tmp
- %TEMP%\tmp192f.tmp
- %TEMP%\tmp19bd.tmp
- %TEMP%\tmp19be.tmp
- %TEMP%\tmp19bf.tmp
- %TEMP%\tmp19cf.tmp
- %TEMP%\tmp1d62.tmp
- %TEMP%\e1p1g1s4.5xf\cookies.sqlite
- %TEMP%\xsayhi3k.2nt\cookies.sqlite
- %TEMP%\db1c11756e15d738bd34b9beba338633\co_user_qivqktxgo_20260626_140658.json
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\cssqkjnsfkhu.exe
Удаляет файлы, которые сам же создал
- %TEMP%\tmp850a.tmp
- %TEMP%\tmp852a.tmp
- %TEMP%\tmp8579.tmp
- %TEMP%\tmp858a.tmp
- %TEMP%\tmp8aa8.tmp
- %TEMP%\tmp85f8.tmp
- %TEMP%\tmp85f9.tmp
- %TEMP%\tmp85fa.tmp
- %TEMP%\tmp85fb.tmp
- %TEMP%\edgedata.json
- %TEMP%\dumpbrowsersecrets.exe
- %TEMP%\dllextractchromiumsecrets.dll
- %TEMP%\tmp191c.tmp
- %TEMP%\tmp191d.tmp
- %TEMP%\tmp192e.tmp
- %TEMP%\tmp192f.tmp
- %TEMP%\tmp1d62.tmp
- %TEMP%\tmp19bd.tmp
- %TEMP%\tmp19be.tmp
- %TEMP%\tmp19bf.tmp
- %TEMP%\tmp19cf.tmp
- %TEMP%\e1p1g1s4.5xf\cookies.sqlite
- %TEMP%\xsayhi3k.2nt\cookies.sqlite
- %TEMP%\db1c11756e15d738bd34b9beba338633\co_user_qivqktxgo_20260626_140658.json
Подменяет следующие файлы
- %TEMP%\dumpbrowsersecrets.exe
- %TEMP%\dllextractchromiumsecrets.dll
- %TEMP%\edgedata.json
Сетевая активность
Подключается к
- 'ic###azip.com':80
- 'ap#.##legram.org':443
TCP
Запросы HTTP GET
UDP
- DNS ASK ic###azip.com
- DNS ASK ap#.##legram.org
Другое
Создает и запускает на исполнение
- '%TEMP%\dumpbrowsersecrets.exe' /b:chrome /b:edge /b:brave /e:all
Перезапускает анализируемый образец
Запускает на исполнение
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --headless=new --disable-gpu --remote-debugging-port=9222 --disable-background-timer-throttling
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "<Полный путь к файлу>" (со скрытым окном)
