Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Djvlespillenes' = '%TEMP%\Conversaziones\Brochen.exe'
Вредоносные функции
Патчит код
в динамической библиотеке
- Процесс xzpvhtck.exe, модуль KERNEL32.dll
- Процесс xzpvhtck.exe, модуль KERNELBASE.dll
- Процесс xzpvhtck.exe, модуль RPCRT4.dll
- Процесс xzpvhtck.exe, модуль ole32.dll
- Процесс xzpvhtck.exe, модуль combase.dll
- Процесс xzpvhtck.exe, модуль bcryptPrimitives.dll
- Процесс xzpvhtck.exe, модуль CLBCatQ.DLL
- Процесс xzpvhtck.exe, модуль bcrypt.dll
- Процесс xzpvhtck.exe, модуль SCHANNEL.dll
- Процесс xzpvhtck.exe, модуль mskeyprotect.dll
- Процесс xzpvhtck.exe, модуль NTASN1.dll
- Процесс xzpvhtck.exe, модуль CRYPT32.dll
- Процесс xzpvhtck.exe, модуль RSAENH.dll
- Процесс xzpvhtck.exe, модуль ncrypt.dll
- Процесс xzpvhtck.exe, модуль ncryptsslp.dll
в динамической библиотеке NTDLL
- Процесс xzpvhtck.exe, модуль ntdll.dll
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %APPDATA%\mozilla\firefox\profiles.ini
- %APPDATA%\thunderbird\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\umaadeholdenhed\udgravning
- %APPDATA%\umaadeholdenhed\barothermohygrograph.sub
- %APPDATA%\umaadeholdenhed\highths
- %APPDATA%\umaadeholdenhed\incestens.ref
- %APPDATA%\umaadeholdenhed\skatteudvalg.arb
- %APPDATA%\umaadeholdenhed\udtrkkenes.rel
- %HOMEPATH%\unvilified.ini
- %TEMP%\callisto.ini
- %TEMP%\nsd4a0.tmp\system.dll
- %TEMP%\conversaziones\brochen.exe
- %LOCALAPPDATA%\google\chrome\user data\default\login data.tmp
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data.tmp
- %TEMP%\tmpuserdata\local state
- %TEMP%\tmpuserdata\default\secure preferences
- %TEMP%\tmpuserdata\default\network\cookies
- %TEMP%\tmpuserdata\crashpad\settings.dat
- %TEMP%\tmpuserdata\crashpad\throttle_store.dat
- %TEMP%\tmpuserdata\crashpadmetrics-active.pma
- %TEMP%\tmpuserdata\devtoolsactiveport
- %TEMP%\tmpuserdata\default\chrome_debug.log
- %TEMP%\tmpuserdata\default\code cache\js\index
- %TEMP%\tmpuserdata\default\code cache\wasm\index
- %TEMP%\tmpuserdata\default\gpucache\index
- %TEMP%\tmpuserdata\default\gpucache\data_0
- %TEMP%\tmpuserdata\default\gpucache\data_1
- %TEMP%\tmpuserdata\default\gpucache\data_2
- %TEMP%\tmpuserdata\default\gpucache\data_3
- %TEMP%\tmpuserdata\default\code cache\wasm\index-dir\temp-index
- %TEMP%\tmpuserdata\default\code cache\js\index-dir\temp-index
Удаляет файлы, которые сам же создал
- %LOCALAPPDATA%\google\chrome\user data\default\login data.tmp
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data.tmp
- %TEMP%\tmpuserdata\crashpad\settings.dat
- %TEMP%\tmpuserdata\crashpad\throttle_store.dat
- %TEMP%\tmpuserdata\crashpadmetrics-active.pma
- %TEMP%\tmpuserdata\default\chrome_debug.log
- %TEMP%\tmpuserdata\default\code cache\js\index
- %TEMP%\tmpuserdata\default\code cache\js\index-dir\the-real-index
- %TEMP%\tmpuserdata\default\code cache\wasm\index
- %TEMP%\tmpuserdata\default\code cache\wasm\index-dir\the-real-index
- %TEMP%\tmpuserdata\default\gpucache\data_0
- %TEMP%\tmpuserdata\default\gpucache\data_1
- %TEMP%\tmpuserdata\default\gpucache\data_2
- %TEMP%\tmpuserdata\default\gpucache\data_3
- %TEMP%\tmpuserdata\default\gpucache\index
- %TEMP%\tmpuserdata\default\network\cookies
- %TEMP%\tmpuserdata\default\secure preferences
- %TEMP%\tmpuserdata\devtoolsactiveport
- %TEMP%\tmpuserdata\local state
Перемещает следующие файлы
- %TEMP%\tmpuserdata\default\code cache\js\index-dir\temp-index в %TEMP%\tmpuserdata\default\code cache\js\index-dir\the-real-index
- %TEMP%\tmpuserdata\default\code cache\wasm\index-dir\temp-index в %TEMP%\tmpuserdata\default\code cache\wasm\index-dir\the-real-index
Изменяет следующие файлы
Сетевая активность
Подключается к
- 'od.lk':443
- '23.##5.2.181':80
- 'we#.##endrive.com':443
- 'oc##.##arfieldtech.com':80
- '64.##.161.94':2404
- 'localhost':9222
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?49##############
- http://oc##.##arfieldtech.com//MEowSDBGMEQwQjAJBgUrDgMCGgUABBT1ZqtwV0O1KcYi0gdzcFkHM%2BuArAQUJUWBaFAmOD07LSy%2BzWrZtj2zZmMCCQCIbKCFWuN%2FgA%3D%3D
Другие
- 'od.lk':443
- 'we#.##endrive.com':443
- '64.##.161.94':2404
UDP
- DNS ASK od.lk
- DNS ASK we#.##endrive.com
- DNS ASK oc##.##arfieldtech.com
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --user-data-dir="%TEMP%\TmpUserData" --profile-directory="Default" --remote-debugging-port=9222 --headless
