Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\securityhealthsystray.exe
- %WINDIR%\syswow64\colorcpl.exe
- %WINDIR%\explorer.exe
следующие пользовательские процессы:
- firefox.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsc8d39.tmp
- %TEMP%\nvnlpqksyvc.mw
- %TEMP%\tckrkogqt.ieb
- %TEMP%\nsc8d88.tmp\caghwhpkq.dll
- %TEMP%\2420v7h4
Изменяет следующие файлы
- %LOCALAPPDATA%\microsoft\vault\userprofileroaming\latest.dat
Сетевая активность
Подключается к
- 'be##cr.shop':80
TCP
Запросы HTTP GET
- http://www.be##cr.shop/msqz/?0n####################################################################################################################
UDP
- DNS ASK se##e.store
- DNS ASK dr#####ijhkhjnmjh.cfd
- DNS ASK li###risk.xyz
- DNS ASK ta####troy.store
- DNS ASK my###campus.com
- DNS ASK lo#####68wallet.monster
- DNS ASK be##cr.shop
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '%WINDIR%\syswow64\colorcpl.exe'
- '%ProgramFiles%\mozilla firefox\firefox.exe'
