Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "Invoke-Expression $env:pigopolies"
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\caspol.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\caspol.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %APPDATA%\mozilla\firefox\profiles.ini
- %APPDATA%\thunderbird\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\google\chrome\user data\default\login data.tmp
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data.tmp
Удаляет файлы, которые сам же создал
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\135qjhis\wehavesomethinggoodthingsfromthebetterplacesforme[1].hta
- %LOCALAPPDATA%\google\chrome\user data\default\login data.tmp
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data.tmp
Сетевая активность
Подключается к
- '17#.#6.119.154':80
- '64.##.156.79':80
- 'ek#############vernmenti###eatoumanamedi.duckdns.org':4022
TCP
Запросы HTTP GET
- http://17#.#6.119.154/40/wehavesomethinggoodthingsfromthebetterplacesforme.hta
- http://64.##.156.79/img/MSI_PRO.png
- http://17#.#6.119.154/xampp/img_185821.png
Другие
- 'ek#############vernmenti###eatoumanamedi.duckdns.org':4022
UDP
- DNS ASK ek#############vernmenti###eatoumanamedi.duckdns.org
Другое
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\caspol.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "Invoke-Expression $env:pigopolies" (со скрытым окном)
