Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Flotilla' = '"%LOCALAPPDATA%\Flotilla\current\warden.exe"'
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /T /IM warden.exe
- '<SYSTEM32>\taskkill.exe' /F /T /IM pilot.exe
Изменения в файловой системе
Создает следующие файлы
- nul
- %LOCALAPPDATA%\flotilla\state\install.id
- %LOCALAPPDATA%\flotilla\versions\1.6.9\warden.exe.part
- %LOCALAPPDATA%\flotilla\versions\1.6.9\pilot.exe.part
- %LOCALAPPDATA%\flotilla\state\manifest.json.tmp
- %LOCALAPPDATA%\flotilla\state\agent.conf.tmp
- %LOCALAPPDATA%\flotilla\state\warden.pid.tmp
- %LOCALAPPDATA%\flotilla\logs\warden.log
- %LOCALAPPDATA%\flotilla\state\pilot.pid.tmp
- %LOCALAPPDATA%\flotilla\state\last-healthy.json.tmp
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\readme
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\web data-journal
- %TEMP%\etilqs_6jln1lbvlxjwxer
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\history-journal
- %TEMP%\etilqs_gp9gelciaz73ukr
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\web data
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\data_reduction_proxy_leveldb\manifest-000001
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\data_reduction_proxy_leveldb\000001.dbtmp
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\history
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\data_reduction_proxy_leveldb\log
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\extension cookies-journal
- %TEMP%\etilqs_mffu7qackw75xyk
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\favicons-journal
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\extension cookies
- %TEMP%\etilqs_hetnhb0uizo0ues
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\databases\databases.db-journal
- %TEMP%\etilqs_w7nr1zdkls7jj5h
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\top sites-journal
- %TEMP%\etilqs_qb03cekjlnnbazn
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\favicons
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\databases\databases.db
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\top sites
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\quotamanager-journal
- %TEMP%\etilqs_ytijzuxbfreyoos
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\ffb4.tmp
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\quotamanager
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\devtoolsactiveport
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\shortcuts-journal
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\shortcuts
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\network action predictor-journal
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\network action predictor
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\login data-journal
- %TEMP%\etilqs_yla3j3oygag4top
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\login data
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\visited links
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\current session
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\extension state\manifest-000001
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\extension state\000001.dbtmp
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\extension state\log
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\extension state\000003.log
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\2425.tmp
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\252f.tmp
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\2530.tmp
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\5f5e.tmp
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\8100.tmp
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\c3f8.tmp
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\readme
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\web data-journal
- %TEMP%\etilqs_zatrw9ydyrlajbg
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\history-journal
- %TEMP%\etilqs_eg6zmcpomrppqtv
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\web data
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\history
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\data_reduction_proxy_leveldb\manifest-000001
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\extension cookies-journal
- %TEMP%\etilqs_o3ja4get43nvhfg
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\data_reduction_proxy_leveldb\000001.dbtmp
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\data_reduction_proxy_leveldb\log
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\favicons-journal
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\top sites-journal
- %TEMP%\etilqs_sxwipm2ecm1znha
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\extension cookies
- %TEMP%\etilqs_1bwkyzdaa0wyzok
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\e977.tmp
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\top sites
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\favicons
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\databases\databases.db-journal
- %TEMP%\etilqs_id5knh4vqe7rgak
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\devtoolsactiveport
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\databases\databases.db
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\quotamanager-journal
- %TEMP%\etilqs_bogccy80txidkeb
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\quotamanager
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\shortcuts-journal
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\shortcuts
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\network action predictor-journal
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\network action predictor
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\login data-journal
- %TEMP%\etilqs_ixyjvqyqlwjsvoc
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\login data
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\visited links
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\current session
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\extension state\manifest-000001
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\extension state\000001.dbtmp
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\extension state\log
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\extension state\000003.log
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\ffc.tmp
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\104b.tmp
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\104c.tmp
Удаляет файлы, которые сам же создал
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\ffb4.tmp
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\e977.tmp
Перемещает следующие файлы
- %LOCALAPPDATA%\flotilla\versions\1.6.9\warden.exe.part в %LOCALAPPDATA%\flotilla\versions\1.6.9\warden.exe
- %LOCALAPPDATA%\flotilla\versions\1.6.9\pilot.exe.part в %LOCALAPPDATA%\flotilla\versions\1.6.9\pilot.exe
- %LOCALAPPDATA%\flotilla\state\manifest.json.tmp в %LOCALAPPDATA%\flotilla\state\manifest.json
- %LOCALAPPDATA%\flotilla\state\agent.conf.tmp в %LOCALAPPDATA%\flotilla\state\agent.conf
- %LOCALAPPDATA%\flotilla\state\warden.pid.tmp в %LOCALAPPDATA%\flotilla\state\warden.pid
- %LOCALAPPDATA%\flotilla\state\pilot.pid.tmp в %LOCALAPPDATA%\flotilla\state\pilot.pid
- %LOCALAPPDATA%\flotilla\state\last-healthy.json.tmp в %LOCALAPPDATA%\flotilla\state\last-healthy.json
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\data_reduction_proxy_leveldb\000001.dbtmp в %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\data_reduction_proxy_leveldb\current
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\extension state\000001.dbtmp в %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\extension state\current
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\2425.tmp в %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\local state
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\252f.tmp в %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\secure preferences
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\2530.tmp в %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\preferences
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\5f5e.tmp в %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\local state
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\8100.tmp в %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\default\secure preferences
- %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\c3f8.tmp в %LOCALAPPDATA%\flotilla\profiles\kick.com-poast\local state
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\data_reduction_proxy_leveldb\000001.dbtmp в %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\data_reduction_proxy_leveldb\current
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\extension state\000001.dbtmp в %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\extension state\current
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\ffc.tmp в %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\local state
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\104b.tmp в %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\secure preferences
- %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\104c.tmp в %LOCALAPPDATA%\flotilla\profiles\kick.com-sayso\default\preferences
Подменяет следующие файлы
- %LOCALAPPDATA%\flotilla\state\last-healthy.json.tmp
- %LOCALAPPDATA%\flotilla\state\last-healthy.json
Сетевая активность
Подключается к
- 'fl######.45-94-31-71.sslip.io':443
- 'x1.#.lencr.org':80
- '8c##############11d936352cd65e13.r2.cloudflarestorage.com':443
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Другие
- 'fl######.45-94-31-71.sslip.io':443
- '8c##############11d936352cd65e13.r2.cloudflarestorage.com':443
UDP
- DNS ASK fl######.45-94-31-71.sslip.io
- DNS ASK x1.#.lencr.org
- DNS ASK 8c##############11d936352cd65e13.r2.cloudflarestorage.com
- DNS ASK google.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
- ClassName: 'Chrome_MessageWindow' WindowName: '%LOCALAPPDATA%\Flotilla\profiles\kick.com-poast'
- ClassName: 'Chrome_MessageWindow' WindowName: '%LOCALAPPDATA%\Flotilla\profiles\kick.com-sayso'
Запускает на исполнение
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq warden.exe" /NH /FO CSV (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c mklink /J %LOCALAPPDATA%\Flotilla\current %LOCALAPPDATA%\Flotilla\versions\1.6.9 (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /T /IM warden.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /T /IM pilot.exe (со скрытым окном)
- '%LOCALAPPDATA%\flotilla\current\warden.exe' --root %LOCALAPPDATA%\Flotilla (со скрытым окном)
- '%LOCALAPPDATA%\flotilla\current\pilot.exe' (со скрытым окном)
- '%LOCALAPPDATA%\google\chrome\application\chrome.exe' --no-default-browser-check --disable-features=site-per-process,Translate,BlinkGenPropertyTrees,CalculateNativeWinOcclusion,Vulkan --disable-blink-features=AutomationControlled --headless=new --... (со скрытым окном)
- '%LOCALAPPDATA%\google\chrome\application\chrome.exe' --no-first-run --disable-background-networking --enable-features=NetworkService,NetworkServiceInProcess --use-mock-keychain --disable-default-apps --disable-popup-blocking --disable-renderer-ba... (со скрытым окном)
