Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM chrome.exe
- '<SYSTEM32>\taskkill.exe' /F /IM msedge.exe
- '<SYSTEM32>\taskkill.exe' /F /IM brave.exe
- '<SYSTEM32>\taskkill.exe' /F /IM opera.exe
- '<SYSTEM32>\taskkill.exe' /F /IM vivaldi.exe
- '<SYSTEM32>\taskkill.exe' /F /IM firefox.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [HKCU\SOFTWARE\Martin Prikryl\WinSCP 2\Sessions]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- nul
- %TEMP%\cd_3380500508.db
- %TEMP%\cd_3380500508.db-shm
- %TEMP%\cd_3585726020.db
- %TEMP%\ndl-session\keys\microsoft_edge.txt
- %TEMP%\cd_3097478416.db
- %TEMP%\ndl-session\system.txt
- %TEMP%\cd_4122276267.db
- %TEMP%\cd_4122276267.db-shm
- %TEMP%\cd_3436379165.db
- %TEMP%\cd_3771773887.db
- %TEMP%\ndl-session\browsers\firefox\dnyauhh1_default_release\cookies.sqlite
- %TEMP%\ndl-session\browsers\firefox\dnyauhh1_default_release\key4.db
- %TEMP%\cd_2378840788.db
- %TEMP%\ndl-session\screenshot.png
- %TEMP%\ndl-session\browsers\firefox\dnyauhh1_default_release\formhistory.sqlite
- %TEMP%\cd_1080234352.db
- %TEMP%\ndl-session\browsers\firefox\dnyauhh1_default_release\places.sqlite
- %TEMP%\ndl-session\browsers\microsoft_edge\default\login data
- %TEMP%\ndl-session\browsers\microsoft_edge\default\web data
- %TEMP%\ndl-session\browsers\microsoft_edge\default\history
- %TEMP%\ndl-session.zip
- %TEMP%\ndl-upload-174458367.multipart
Удаляет файлы, которые сам же создал
- %TEMP%\cd_3380500508.db-shm
- %TEMP%\cd_3380500508.db
- %TEMP%\cd_3585726020.db
- %TEMP%\cd_3097478416.db
- %TEMP%\cd_3436379165.db
- %TEMP%\cd_4122276267.db-shm
- %TEMP%\cd_4122276267.db
- %TEMP%\cd_3771773887.db
- %TEMP%\cd_2378840788.db
- %TEMP%\cd_1080234352.db
- %TEMP%\ndl-upload-174458367.multipart
Сетевая активность
Подключается к
- 'du####llremriki.com':443
- 'ip##pi.com':80
TCP
Запросы HTTP GET
Другие
- 'du####llremriki.com':443
UDP
- DNS ASK du####llremriki.com
- DNS ASK ip##pi.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -c "$kb = try { (Get-WinUserLanguageList | % { $_.LocalizedName }) -join ' / ' } catch { 'Unknown' }; $p = Get-CimInstance Win32_Processor | Select -First 1; \"$kb\"; \"$($p.NumberOf... (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /fo csv /nh (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM chrome.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM msedge.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM brave.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM opera.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM vivaldi.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM firefox.exe (со скрытым окном)
