Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath '<Текущая директория>' -ExclusionType Folder
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath '<Текущая директория>\SistemasSimples.exe' -ExclusionType Process
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /IM "chromedriver*.exe" /F /T
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\crm\meuconexaox.csv
- <Текущая директория>\atualizarsistemassimples.exe
- <Текущая директория>\gerentepesquisasmaps_10h_listafria.exe
- nul
- <Текущая директория>\coordenadassistema\chromedriveratual\chromedriver_137.exe
- <Текущая директория>\autoresponder\seu_gpt_sua_ia\00_atendentegpt_faq.txt
- <Текущая директория>\coordenadassistema\usarcft.txt
- <Текущая директория>\chrome-win64.zip
Сетевая активность
Подключается к
- 'fa#######castropinheiro.com.br':443
- 'x1.#.lencr.org':80
- 'yr.#.lencr.org':80
- 'yr#.#.lencr.org':80
- 'fa#######castropinheiro.com.br':80
- 'st#####.googleapis.com':443
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
- http://yr.#.lencr.org/
- http://yr#.#.lencr.org/109.crl
- http://fa#######castropinheiro.com.br/ChromedriverAtual/chromedriver_137.exe
Другие
- 'fa#######castropinheiro.com.br':443
- 'st#####.googleapis.com':443
UDP
- DNS ASK fa#######castropinheiro.com.br
- DNS ASK x1.#.lencr.org
- DNS ASK yr.#.lencr.org
- DNS ASK yr#.#.lencr.org
- DNS ASK st#####.googleapis.com
Другое
Ищет следующие окна
- ClassName: 'BUTTON' WindowName: ''
- ClassName: '' WindowName: ''
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c "netsh interface show interface" (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' interface show interface
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /IM "chromedriver*.exe" /F /T (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c for /f "tokens=5" %a in ('netstat -ano -p tcp ^| find ":9515 "') do taskkill /PID %a /F (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netstat -ano -p tcp | find ":9515 "
- '%WINDIR%\syswow64\netstat.exe' -ano -p tcp
- '%WINDIR%\syswow64\find.exe' ":9515 "
- '%WINDIR%\syswow64\cmd.exe' /c netstat -ano -p tcp ^| find ":9515 " (со скрытым окном)
- '%WINDIR%\syswow64\netstat.exe' -ano -p tcp | find ":9515 "
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath '<Текущая директория>' -ExclusionType Folder (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath '<Текущая директория>\SistemasSimples.exe' -ExclusionType Process (со скрытым окном)
