Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "<Полный путь к файлу>"
Внедряет код в
следующие пользовательские процессы:
- msedge.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\clr_v4.0_32\usagelogs\<Имя файла>.exe.log
- %TEMP%\dumpbrowsersecrets.exe
- %TEMP%\tmp40b3.tmp
- %TEMP%\tmp40c3.tmp
- %TEMP%\tmp40c4.tmp
- %TEMP%\tmp40d5.tmp
- %TEMP%\tmp4143.tmp
- %TEMP%\tmp4144.tmp
- %TEMP%\tmp4145.tmp
- %TEMP%\tmp4156.tmp
- %TEMP%\dllextractchromiumsecrets.dll
- nul
- %TEMP%\tmp4278.tmp
- %TEMP%\edgedata.json
- %TEMP%\tmp9c7f.tmp
- %TEMP%\tmp9c80.tmp
- %TEMP%\tmp9c90.tmp
- %TEMP%\tmp9c91.tmp
- %TEMP%\tmp9cd1.tmp
- %TEMP%\tmp9ce2.tmp
- %TEMP%\tmp9ce3.tmp
- %TEMP%\tmp9ce4.tmp
- %TEMP%\tmp9e34.tmp
- %TEMP%\jwnesqhh.djh\cookies.sqlite
- %TEMP%\rmnucqrk.oro\cookies.sqlite
- %TEMP%\19626aad8d68746c8145b294533b05cb\co_user_dfcazdbq_20260626_160811.json
- %TEMP%\tmp2edc.tmp
- %TEMP%\tmp2edd.tmp
- %TEMP%\tmp2eed.tmp
- %TEMP%\tmp2eee.tmp
- %TEMP%\tmp3095.tmp
- %TEMP%\tmp3096.tmp
- %TEMP%\tmp3097.tmp
- %TEMP%\tmp30a8.tmp
- %TEMP%\tmp31d9.tmp
- %TEMP%\dhmyuryv.rjc\credit_cards.sqlite
- %TEMP%\vyaytdek.vue\credit_cards.sqlite
- %TEMP%\19626aad8d68746c8145b294533b05cb\cc_user_dfcazdbq_20260626_160848.html
Удаляет файлы, которые сам же создал
- %TEMP%\tmp40b3.tmp
- %TEMP%\tmp40c3.tmp
- %TEMP%\tmp40c4.tmp
- %TEMP%\tmp40d5.tmp
- %TEMP%\tmp4278.tmp
- %TEMP%\tmp4143.tmp
- %TEMP%\tmp4144.tmp
- %TEMP%\tmp4145.tmp
- %TEMP%\tmp4156.tmp
- %TEMP%\edgedata.json
- %TEMP%\dumpbrowsersecrets.exe
- %TEMP%\dllextractchromiumsecrets.dll
- %TEMP%\tmp9c7f.tmp
- %TEMP%\tmp9c80.tmp
- %TEMP%\tmp9c90.tmp
- %TEMP%\tmp9c91.tmp
- %TEMP%\tmp9e34.tmp
- %TEMP%\tmp9cd1.tmp
- %TEMP%\tmp9ce2.tmp
- %TEMP%\tmp9ce3.tmp
- %TEMP%\tmp9ce4.tmp
- %TEMP%\jwnesqhh.djh\cookies.sqlite
- %TEMP%\rmnucqrk.oro\cookies.sqlite
- %TEMP%\19626aad8d68746c8145b294533b05cb\co_user_dfcazdbq_20260626_160811.json
- %TEMP%\tmp2edc.tmp
- %TEMP%\tmp2edd.tmp
- %TEMP%\tmp2eed.tmp
- %TEMP%\tmp2eee.tmp
- %TEMP%\tmp31d9.tmp
- %TEMP%\tmp3095.tmp
- %TEMP%\tmp3096.tmp
- %TEMP%\tmp3097.tmp
- %TEMP%\tmp30a8.tmp
- %TEMP%\dhmyuryv.rjc\credit_cards.sqlite
- %TEMP%\vyaytdek.vue\credit_cards.sqlite
- %TEMP%\19626aad8d68746c8145b294533b05cb\cc_user_dfcazdbq_20260626_160848.html
Подменяет следующие файлы
- %TEMP%\dumpbrowsersecrets.exe
- %TEMP%\dllextractchromiumsecrets.dll
- %TEMP%\edgedata.json
Сетевая активность
Подключается к
- '16#.#54.34.31':587
UDP
- DNS ASK ic###azip.com
Другое
Создает и запускает на исполнение
- '%TEMP%\dumpbrowsersecrets.exe' /b:chrome /b:edge /b:brave /e:all
Перезапускает анализируемый образец
Запускает на исполнение
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --headless=new --disable-gpu --remote-debugging-port=9222 --disable-background-timer-throttling
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "<Полный путь к файлу>" (со скрытым окном)
