Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\windowssecurityhealthservice
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\2473400352.zip
- %TEMP%\3145985691.zip
- %APPDATA%\microsoft\windows\security\securityhealthservice.exe
- %TEMP%\task_def.xml
- %TEMP%\etilqs_6l7dcgf8d1pfm3w
- %TEMP%\etilqs_0jqsrdva4scxizs
- %LOCALAPPDATA%\microsoft\edge\user data\devtoolsactiveport
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\index
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\data_0
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\data_2
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\data_3
- %LOCALAPPDATA%\microsoft\edge\user data\default\cookies-journal
- %LOCALAPPDATA%\microsoft\edge\user data\default\cookies
Удаляет файлы, которые сам же создал
- %TEMP%\2473400352.zip
- %TEMP%\3145985691.zip
- %TEMP%\task_def.xml
Изменяет следующие файлы
- %LOCALAPPDATA%\google\chrome\application\debug.log
Сетевая активность
Подключается к
- 'gi##ub.com':443
- 'localhost':19511
- 'ss#.#static.com':443
- 'localhost':20009
- 'ap#.#pify.org':80
- '10#.#8.109.186':9090
TCP
Запросы HTTP GET
- http://ap#.#pify.org/
Другие
- 'gi##ub.com':443
- 'localhost':49705
- 'ss#.#static.com':443
- 'localhost':49715
- 'localhost':49716
UDP
- DNS ASK gi##ub.com
- DNS ASK google.com
- DNS ASK ss#.#static.com
- DNS ASK ap#.#pify.org
Другое
Ищет следующие окна
- ClassName: 'Chrome_MessageWindow' WindowName: '%LOCALAPPDATA%\Google\Chrome\User Data'
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /Create /TN WindowsSecurityHealthService /TR \"%APPDATA%\Microsoft\Windows\Security\SecurityHealthService.exe\" /SC ONLOGON /F /RL LIMITED (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Create /TN WindowsSecurityHealthService /XML %TEMP%\task_def.xml /F (со скрытым окном)
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --remote-debugging-port=20009 --headless=new "--user-data-dir=%LOCALAPPDATA%\Microsoft\Edge\User Data" --no-first-run --no-default-browser-check --disable-background-networking --disable-sync -... (со скрытым окном)
- '%LOCALAPPDATA%\google\chrome\application\chrome.exe' --remote-debugging-port=19511 --headless=new "--user-data-dir=%LOCALAPPDATA%\Google\Chrome\User Data" --no-first-run --no-default-browser-check --disable-background-networking --disable-sync --... (со скрытым окном)
