Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %WINDIR%\tasks\bridgenano_v8.job
- <SYSTEM32>\tasks\bridgenano_v8
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- byprofiler64.exe
- vgenerator.exe
- crisp.exe
Патчит код
в динамической библиотеке
- Процесс binaryvector50.exe, модуль tapisrv.dll
- Процесс binaryvector50.exe, модуль Input.dll
- Процесс binaryvector50.exe, модуль XmlLite.dll
- Процесс binaryvector50.exe, модуль RPCRT4.dll
- Процесс crisp.exe, модуль XmlLite.dll
в динамической библиотеке NTDLL
- Процесс byprofiler64.exe, модуль ntdll.dll
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\registry-table.tmp
- %TEMP%\session_setup.sym
- %TEMP%\aswjsflt.dll
- %TEMP%\binaryvector50.exe
- %TEMP%\msvcp_win.dll
- %TEMP%\python310.dll
- %TEMP%\snxhk.dll
- %TEMP%\ucrtbase.dll
- %TEMP%\vcruntime140.dll
- %ALLUSERSPROFILE%\winmgr_lts\aswjsflt.dll
- %ALLUSERSPROFILE%\winmgr_lts\binaryvector50.exe
- %ALLUSERSPROFILE%\winmgr_lts\msvcp_win.dll
- %ALLUSERSPROFILE%\winmgr_lts\python310.dll
- %ALLUSERSPROFILE%\winmgr_lts\registry-table.tmp
- %ALLUSERSPROFILE%\winmgr_lts\snxhk.dll
- %ALLUSERSPROFILE%\winmgr_lts\ucrtbase.dll
- %ALLUSERSPROFILE%\winmgr_lts\vcruntime140.dll
- %ALLUSERSPROFILE%\winmgr_lts\session_setup.sym
- %APPDATA%\winmgr_lts\crisp.exe
- %APPDATA%\winmgr_lts\voilpuzslzmgqfnd\aswjsflt.dll
- %APPDATA%\winmgr_lts\voilpuzslzmgqfnd\binaryvector50.exe
- %APPDATA%\winmgr_lts\voilpuzslzmgqfnd\msvcp_win.dll
- %APPDATA%\winmgr_lts\voilpuzslzmgqfnd\python310.dll
- %APPDATA%\winmgr_lts\voilpuzslzmgqfnd\registry-table.tmp
- %APPDATA%\winmgr_lts\voilpuzslzmgqfnd\session_setup.sym
- %APPDATA%\winmgr_lts\voilpuzslzmgqfnd\snxhk.dll
- %APPDATA%\winmgr_lts\voilpuzslzmgqfnd\ucrtbase.dll
- %APPDATA%\winmgr_lts\voilpuzslzmgqfnd\vcruntime140.dll
- %TEMP%\c0b6b96.tmp
- %APPDATA%\com_lib_driver_v8_pro\crisp.exe
- %TEMP%\e2f8f8a.tmp
- %TEMP%\e4b9150.tmp
- %TEMP%\ecd99db.tmp
- %TEMP%\byprofiler64.exe
- %TEMP%\4d9b311.tmp
- %HOMEPATH%\vgenerator.exe
- %TEMP%\19ac8cc.tmp
- %ALLUSERSPROFILE%\jovise\lonupuvi
- %TEMP%\52847b.tmp
- %ALLUSERSPROFILE%\microsoft\crypto\rsa\s-1-5-18\d42cc0c3858a58db2db37658219e6400_8cf7b530-613e-439b-a8c5-ccfc0e745400
- %ALLUSERSPROFILE%\jovise\cusak\10af75cb1b3562de993376f1fe7b4dfad5507f8b
- %ALLUSERSPROFILE%\jovise\cusak\fdce89a060d28b7e6cae40607b2cf1c0f1a12e56
- %TEMP%\2ae5-9a4e-83d8-ed65\login data
- %TEMP%\3622-4266-ef4b-a733\web data
- %TEMP%\qlcz2\zsgpruybncx0\default\dicfhvr
- %TEMP%\qlcz2\zsgpruybncx0\default\dfd3dhsei\login data
- %TEMP%\qlcz2\zsgpruybncx0\default\dfd3dhsei\web data
- %TEMP%\e5e8-1d23-c971-efed\cookies
- %TEMP%\qlcz2\zsgpruybncx0\default\6r89xg\cookies
Удаляет файлы, которые сам же создал
- %TEMP%\e2f8f8a.tmp
- %TEMP%\c0b6b96.tmp
- %TEMP%\2ae5-9a4e-83d8-ed65\login data
- %TEMP%\3622-4266-ef4b-a733\web data
- %TEMP%\e5e8-1d23-c971-efed\cookies
Подменяет следующие файлы
- %TEMP%\e2f8f8a.tmp
- %TEMP%\c0b6b96.tmp
Сетевая активность
Подключается к
- '19#.#4.123.38':3333
- '94.##0.120.240':443
- 'ex##ple.com':80
- 'yo###duct.xyz':3333
- 'yo###duct.xyz':3334
- 'te##gram.me':443
TCP
Другие
- 'yo###duct.xyz':3333
- 'yo###duct.xyz':3334
UDP
- DNS ASK ex##ple.com
- DNS ASK yo###duct.xyz
- DNS ASK te##gram.me
Другое
Создает и запускает на исполнение
- '%TEMP%\binaryvector50.exe'
- '%ALLUSERSPROFILE%\winmgr_lts\binaryvector50.exe'
- '%APPDATA%\winmgr_lts\voilpuzslzmgqfnd\binaryvector50.exe'
- '%TEMP%\byprofiler64.exe'
- '%HOMEPATH%\vgenerator.exe'
- '%APPDATA%\com_lib_driver_v8_pro\crisp.exe'
- '%APPDATA%\winmgr_lts\crisp.exe'
