Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\runtimebroker.exe
следующие пользовательские процессы:
- chrome.exe
- msedge.exe
Патчит код
в динамической библиотеке NTDLL
- Процесс iksqtlir.exe, модуль ntdll.dll
- Процесс runtimebroker.exe, модуль ntdll.dll
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [HKCU\Software\Martin Prikryl\WinSCP 2\Sessions]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nativeloader_1180.log
- %TEMP%\nativeloader_2664.log
- %TEMP%\tmp330d.tmp.dat
- %TEMP%\tmp33aa.tmp.dat
- %TEMP%\tmp33ca.tmp.dat
- %TEMP%\tmp33eb.tmp.dat
- %TEMP%\tmp33fb.tmp.dat
- %TEMP%\tmp340c.tmp.dat
- %TEMP%\tmp341d.tmp.dat
- %TEMP%\tmp343d.tmp.dat
- %TEMP%\tmp349c.tmp.dat
- %TEMP%\tmp34ac.tmp.dat
- %TEMP%\tmp3559.tmp.dat
- %TEMP%\tmp35e7.tmp.dat
- %TEMP%\tmp3645.tmp.dat
- %TEMP%\tmp3666.tmp.dat
- %TEMP%\tmp36c4.tmp.dat
- %TEMP%\tmp3723.tmp.dat
- %TEMP%\tmp3763.tmp.dat
- %TEMP%\tmp3783.tmp.dat
- %TEMP%\a248dc77-9e60-4299-b206-089f2e431e3a\current
- %TEMP%\a248dc77-9e60-4299-b206-089f2e431e3a\log
- %TEMP%\a248dc77-9e60-4299-b206-089f2e431e3a\manifest-000001
- %TEMP%\tmp483d.tmp.dat
- %TEMP%\tmp484e.tmp.dat
- %TEMP%\tmp484f.tmp.dat
- %TEMP%\tmp485f.tmp.dat
- %TEMP%\tmp4870.tmp.dat
- %TEMP%\tmp4871.tmp.dat
- %TEMP%\tmp4882.tmp.dat
- %TEMP%\tmp4892.tmp.dat
- %TEMP%\d6eca09e-92e8-46ca-9528-5886ffac41de\logs.txt
Удаляет файлы, которые сам же создал
- %TEMP%\tmp330d.tmp.dat
- %TEMP%\tmp33aa.tmp.dat
- %TEMP%\tmp33ca.tmp.dat
- %TEMP%\tmp33eb.tmp.dat
- %TEMP%\tmp33fb.tmp.dat
- %TEMP%\tmp340c.tmp.dat
- %TEMP%\tmp341d.tmp.dat
- %TEMP%\tmp343d.tmp.dat
- %TEMP%\tmp349c.tmp.dat
- %TEMP%\tmp34ac.tmp.dat
- %TEMP%\tmp3559.tmp.dat
- %TEMP%\tmp35e7.tmp.dat
- %TEMP%\tmp3645.tmp.dat
- %TEMP%\tmp3666.tmp.dat
- %TEMP%\tmp36c4.tmp.dat
- %TEMP%\tmp3723.tmp.dat
- %TEMP%\tmp3763.tmp.dat
- %TEMP%\tmp3783.tmp.dat
- %TEMP%\tmp483d.tmp.dat
- %TEMP%\a248dc77-9e60-4299-b206-089f2e431e3a\current
- %TEMP%\a248dc77-9e60-4299-b206-089f2e431e3a\log
- %TEMP%\a248dc77-9e60-4299-b206-089f2e431e3a\manifest-000001
- %TEMP%\tmp484e.tmp.dat
- %TEMP%\tmp484f.tmp.dat
- %TEMP%\tmp485f.tmp.dat
- %TEMP%\tmp4870.tmp.dat
- %TEMP%\tmp4871.tmp.dat
- %TEMP%\tmp4882.tmp.dat
- %TEMP%\tmp4892.tmp.dat
- %TEMP%\d6eca09e-92e8-46ca-9528-5886ffac41de\logs.txt
Сетевая активность
Подключается к
- '14#.#3.137.221':8080
- '14#.#3.137.221':8443
- '19#.#32.210.172':80
- 'ms###csi.com':443
- 'ip##pi.com':80
TCP
Запросы HTTP GET
- http://14#.##.137.221:8080/3082218e-bf46-4040-987d-869fa30a356c via 14#.#3.137.221
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?ca##############
- http://ip##pi.com/line/?fi##################
Другие
- '14#.#3.137.221':8443
- 'ms###csi.com':443
UDP
- DNS ASK ip##pi.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: 'TeamViewer'
Запускает на исполнение
- '<SYSTEM32>\runtimebroker.exe'
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' (со скрытым окном)
- '%LOCALAPPDATA%\google\chrome\application\chrome.exe' (со скрытым окном)
