Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Полный путь к файлу>'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableIntrusionPreventionSystem $true -DisableIOAVProtection $true -DisableRealtimeMonitoring $true -DisableScriptScanning $true -EnableControlledFolderAccess Disabled -Enabl...
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM "opera.exe"
- '<SYSTEM32>\taskkill.exe' /F /IM "chrome.exe"
- '<SYSTEM32>\taskkill.exe' /F /IM "msedge.exe"
- '<SYSTEM32>\taskkill.exe' /F /IM "firefox.exe"
- '<SYSTEM32>\taskkill.exe' /F /IM "iexplore.exe"
- '<SYSTEM32>\taskkill.exe' /F /IM "brave.exe"
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
- iexplore.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\yak4evqx.db
- %TEMP%\qs4v8pcv.db
- %TEMP%\wkb8s42m.db
- %TEMP%\sa6r1nws.db
- nul
- %TEMP%\mdma_results\passwords.txt
- %TEMP%\mdma_results\cookies.txt
- %TEMP%\mdma_results\autofills.txt
- %TEMP%\mdma_results\wifi_passwords.txt
- %TEMP%\mdma_results\system_info.txt
- %TEMP%\mdma_results\clipboard.txt
- %TEMP%\mdma_results\antivirus.txt
- %TEMP%\mdma_results\tasklist.txt
- %TEMP%\mdma_results\directory_tree.txt
- %TEMP%\mdma_results\discord_tokens.txt
- %TEMP%\mdma_results\summary.txt
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\<Имя файла>.exe
Присваивает атрибут 'скрытый' для следующих файлов
- <Полный путь к файлу>
Удаляет файлы, которые сам же создал
- %TEMP%\qs4v8pcv.db
- %TEMP%\yak4evqx.db
- %TEMP%\wkb8s42m.db
- %TEMP%\sa6r1nws.db
Изменяет файл HOSTS.
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C powershell -Command Add-MpPreference -ExclusionPath '<Полный путь к файлу>' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C powershell Set-MpPreference -DisableIntrusionPreventionSystem $true -DisableIOAVProtection $true -DisableRealtimeMonitoring $true -DisableScriptScanning $true -EnableControlledFolderAccess D... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C attrib +h +s "<Полный путь к файлу>" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /F /IM "chrome.exe" >NUL 2>&1 (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C tasklist /FO LIST (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C netsh wlan show profile (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C wmic /namespace:\\root\SecurityCenter2 path AntiVirusProduct get displayName /format:list 2>NUL (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /F /IM "msedge.exe" >NUL 2>&1 (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C wmic os get Caption /value (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /F /IM "firefox.exe" >NUL 2>&1 (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /F /IM "opera.exe" >NUL 2>&1 (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /F /IM "iexplore.exe" >NUL 2>&1 (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /F /IM "brave.exe" >NUL 2>&1 (со скрытым окном)
- '<SYSTEM32>\netsh.exe' wlan show profile
- '<SYSTEM32>\wbem\wmic.exe' os get Caption /value
- '<SYSTEM32>\tasklist.exe' /FO LIST
- '<SYSTEM32>\attrib.exe' +h +s "<Полный путь к файлу>"
- '<SYSTEM32>\wbem\wmic.exe' /namespace:\\root\SecurityCenter2 path AntiVirusProduct get displayName /format:list
- '<SYSTEM32>\cmd.exe' /C powershell Get-ItemPropertyValue -Path 'HKLM:System\CurrentControlSet\Control\Session Manager\Environment' -Name PROCESSOR_IDENTIFIER 2>NUL (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Get-ItemPropertyValue -Path 'HKLM:System\CurrentControlSet\Control\Session Manager\Environment' -Name PROCESSOR_IDENTIFIER
- '<SYSTEM32>\cmd.exe' /C wmic path win32_VideoController get name (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' path win32_VideoController get name
- '<SYSTEM32>\cmd.exe' /C wmic computersystem get totalphysicalmemory /value (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' computersystem get totalphysicalmemory /value
- '<SYSTEM32>\cmd.exe' /C wmic csproduct get uuid (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' csproduct get uuid
- '<SYSTEM32>\cmd.exe' /C powershell Get-ItemPropertyValue -Path 'HKLM:SOFTWARE\Microsoft\Windows NT\CurrentVersion\SoftwareProtectionPlatform' -Name BackupProductKeyDefault 2>NUL (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Get-ItemPropertyValue -Path 'HKLM:SOFTWARE\Microsoft\Windows NT\CurrentVersion\SoftwareProtectionPlatform' -Name BackupProductKeyDefault
