Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -Command "try{Add-MpPreference -ExclusionPath @($env:TEMP,$env:APPDATA) -ErrorAction SilentlyContinue}catch{};try{Set-MpPreference -DisableRealtim...
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\cookiegrab.log
- %TEMP%\cg_abe.dll
- %TEMP%\cg_2964_890484_0.db
- %TEMP%\cg_2964_890875_1.db
- %TEMP%\cg_2964_890875_1.db-shm
- %TEMP%\cookiegrab_out\cookies_firefox.txt
- %TEMP%\cg_2964_915390_2.db
- %TEMP%\cg_2964_915421_3.db
- %TEMP%\cg_2964_915421_4.db
Удаляет файлы, которые сам же создал
- %TEMP%\cg_2964_890484_0.db
- %TEMP%\cg_2964_890875_1.db-shm
- %TEMP%\cg_2964_890875_1.db
- %TEMP%\cg_2964_915390_2.db
- %TEMP%\cg_2964_915421_3.db
- %TEMP%\cg_2964_915421_4.db
Сетевая активность
Подключается к
- 'di##ord.com':443
TCP
Другие
- 'di##ord.com':443
UDP
- DNS ASK di##ord.com
Другое
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -Command "try{Add-MpPreference -ExclusionPath @($env:TEMP,$env:APPDATA) -ErrorAction SilentlyContinue}catch{};try{Set-MpPreference -DisableRealtim... (со скрытым окном)
