Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM Telegram.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\.minecraft\mods\libmod.jar
- %APPDATA%\microsoft\crypto\rsa\s-1-5-21-4226853953-3309226944-3078887307-1000\83aa4cc77f591dfc2374580bbd95f6ba_8cf7b530-613e-439b-a8c5-ccfc0e745400
- %HOMEPATH%\.minecraft_loader\hash.txt
- %HOMEPATH%\.minecraft_loader\updater.exe
- %HOMEPATH%\loader_debug.txt
- %APPDATA%\update.exe
- %TEMP%\23666e11-d6ed-45d0-9d69-a1c73e5ef789_ffck_dnyauhh1.default-release.sqlite
- %TEMP%\23666e11-d6ed-45d0-9d69-a1c73e5ef789_ffck_dnyauhh1.default-release.sqlite-shm
- %TEMP%\c68dc44b-6bea-44c8-97b4-56b26253a3df.ps1
Удаляет файлы, которые сам же создал
- %HOMEPATH%\.minecraft_loader\hash.txt
- %TEMP%\23666e11-d6ed-45d0-9d69-a1c73e5ef789_ffck_dnyauhh1.default-release.sqlite
- %TEMP%\c68dc44b-6bea-44c8-97b4-56b26253a3df.ps1
- %TEMP%\23666e11-d6ed-45d0-9d69-a1c73e5ef789_ffck_dnyauhh1.default-release.sqlite-shm
- %TEMP%\content\1656-3136-powershell.exe-09-11-08-071.dump
- %TEMP%\content\1656-3136-powershell.exe-09-11-08-355.dump
- %TEMP%\content\1656-3136-powershell.exe-09-11-08-510.dump
- %TEMP%\content\1656-3136-powershell.exe-09-11-08-711.dump
- %TEMP%\content\1656-3136-powershell.exe-09-11-09-863.dump
- %TEMP%\content\1688-1572-powershell.exe-09-11-18-275.dump
- %TEMP%\content\1688-1572-powershell.exe-09-11-18-564.dump
- %TEMP%\content\1688-1572-powershell.exe-09-11-18-675.dump
- %TEMP%\content\1688-1572-powershell.exe-09-11-18-854.dump
- %TEMP%\content\1688-1572-powershell.exe-09-11-20-167.dump
- %TEMP%\content\2592-3144-powershell.exe-09-11-33-095.dump
- %TEMP%\content\2592-3144-powershell.exe-09-11-33-366.dump
- %TEMP%\content\2592-3144-powershell.exe-09-11-33-451.dump
- %TEMP%\content\2592-3144-powershell.exe-09-11-33-614.dump
- %TEMP%\content\2592-3144-powershell.exe-09-11-34-101.dump
- %TEMP%\content\3212-2716-powershell.exe-09-11-43-100.dump
- %TEMP%\content\3212-2716-powershell.exe-09-11-43-471.dump
- %TEMP%\content\3212-2716-powershell.exe-09-11-43-540.dump
- %TEMP%\content\3212-2716-powershell.exe-09-11-43-719.dump
- %TEMP%\content\3212-2716-powershell.exe-09-11-43-835.dump
- %TEMP%\content\3212-2716-powershell.exe-09-11-43-978.dump
- %TEMP%\content\3212-2716-powershell.exe-09-11-44-327.dump
Сетевая активность
Подключается к
- 'wo####tealer.xyz':443
TCP
Другие
- 'wo####tealer.xyz':443
UDP
- DNS ASK wo####tealer.xyz
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -WindowStyle Hidden -Command "Start-Process -FilePath '%HOMEPATH%\.minecraft_loader\Updater.exe' -ArgumentList 'pasa31' -WorkingDirectory '%HOMEPATH%\.minecraft_loader'"
- '%HOMEPATH%\.minecraft_loader\updater.exe' pasa31
- '%HOMEPATH%\.minecraft_loader\updater.exe' --firefox-worker %APPDATA%\Mozilla\Firefox\Profiles\dnyauhh1.default-release "%ProgramFiles%\Mozilla Firefox"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -File %TEMP%\c68dc44b-6bea-44c8-97b4-56b26253a3df.ps1
Запускает на исполнение
- '<SYSTEM32>\tasklist.exe'
- '<SYSTEM32>\cmd.exe' /C "schtasks /create /tn \"UpdateTask\" /tr \"%APPDATA%\Update.exe\" /sc onlogon /f"
- '<SYSTEM32>\schtasks.exe' /create /tn \"UpdateTask\" /tr \"%APPDATA%\Update.exe\" /sc onlogon /f
