Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- chrome.exe
- msedge.exe
Патчит код
в динамической библиотеке NTDLL
- Процесс gqrw.exe, модуль ntdll.dll
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [HKCU\Software\Martin Prikryl\WinSCP 2\Sessions]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmp812d.tmp.dat
- %TEMP%\tmp815d.tmp.dat
- %TEMP%\tmp816d.tmp.dat
- %TEMP%\tmp817e.tmp.dat
- %TEMP%\tmp817f.tmp.dat
- %TEMP%\tmp8190.tmp.dat
- %TEMP%\tmp8191.tmp.dat
- %TEMP%\tmp81b1.tmp.dat
- %TEMP%\tmp81d1.tmp.dat
- %TEMP%\tmp81d2.tmp.dat
- %TEMP%\tmp8221.tmp.dat
- %TEMP%\tmp8261.tmp.dat
- %TEMP%\tmp82a0.tmp.dat
- %TEMP%\tmp82c1.tmp.dat
- %TEMP%\tmp8300.tmp.dat
- %TEMP%\tmp8340.tmp.dat
- %TEMP%\tmp839e.tmp.dat
- %TEMP%\tmp839f.tmp.dat
- %TEMP%\80bad41e-279e-4353-b172-70f1712f72d3\current
- %TEMP%\80bad41e-279e-4353-b172-70f1712f72d3\log
- %TEMP%\80bad41e-279e-4353-b172-70f1712f72d3\manifest-000001
- %TEMP%\tmp9285.tmp.dat
- %TEMP%\tmp9295.tmp.dat
- %TEMP%\tmp9296.tmp.dat
- %TEMP%\tmp92a7.tmp.dat
- %TEMP%\tmp92a8.tmp.dat
- %TEMP%\tmp92b9.tmp.dat
- %TEMP%\tmp92ba.tmp.dat
- %TEMP%\tmp92bb.tmp.dat
- %TEMP%\9e82ccd8-9956-426b-87a2-12e47f919b7d\logs.txt
Удаляет файлы, которые сам же создал
- %TEMP%\tmp812d.tmp.dat
- %TEMP%\tmp815d.tmp.dat
- %TEMP%\tmp816d.tmp.dat
- %TEMP%\tmp817e.tmp.dat
- %TEMP%\tmp817f.tmp.dat
- %TEMP%\tmp8190.tmp.dat
- %TEMP%\tmp8191.tmp.dat
- %TEMP%\tmp81b1.tmp.dat
- %TEMP%\tmp81d1.tmp.dat
- %TEMP%\tmp81d2.tmp.dat
- %TEMP%\tmp8221.tmp.dat
- %TEMP%\tmp8261.tmp.dat
- %TEMP%\tmp82a0.tmp.dat
- %TEMP%\tmp82c1.tmp.dat
- %TEMP%\tmp8300.tmp.dat
- %TEMP%\tmp8340.tmp.dat
- %TEMP%\tmp839e.tmp.dat
- %TEMP%\tmp839f.tmp.dat
- %TEMP%\80bad41e-279e-4353-b172-70f1712f72d3\current
- %TEMP%\80bad41e-279e-4353-b172-70f1712f72d3\log
- %TEMP%\80bad41e-279e-4353-b172-70f1712f72d3\manifest-000001
- %TEMP%\tmp9285.tmp.dat
- %TEMP%\tmp9295.tmp.dat
- %TEMP%\tmp9296.tmp.dat
- %TEMP%\tmp92a7.tmp.dat
- %TEMP%\tmp92a8.tmp.dat
- %TEMP%\tmp92b9.tmp.dat
- %TEMP%\tmp92ba.tmp.dat
- %TEMP%\tmp92bb.tmp.dat
- %TEMP%\9e82ccd8-9956-426b-87a2-12e47f919b7d\logs.txt
Сетевая активность
Подключается к
- 'ma##.##lantelecorn.com':8448
- 'ms###csi.com':443
- 'ap#.#pify.org':443
- 'ip##pi.com':80
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?12##############
- http://ip##pi.com/line/?fi##################
Другие
- 'ma##.##lantelecorn.com':8448
- 'ms###csi.com':443
- 'ap#.#pify.org':443
UDP
- DNS ASK ma##.##lantelecorn.com
- DNS ASK ap#.#pify.org
- DNS ASK ip##pi.com
Другое
Ищет следующие окна
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
- ClassName: '' WindowName: 'TeamViewer'
Запускает на исполнение
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe'
