Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\braveupdatehealthcheck
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\notepad.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\google\chrome\diagnostics\<Имя файла>.exe
- nul
- %APPDATA%\google\chrome\diagnostics\runtime\cloudworker3102_3019.exe
- %TEMP%\th976e.tmp
Сетевая активность
Подключается к
- 'ra#.####ubusercontent.com':443
- 'x1.#.lencr.org':80
- 'po##.#ashvault.pro':443
- 'localhost':8080
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Другие
- 'ra#.####ubusercontent.com':443
- 'po##.#ashvault.pro':443
UDP
- DNS ASK ra#.####ubusercontent.com
- DNS ASK x1.#.lencr.org
- DNS ASK po##.#ashvault.pro
Другое
Создает и запускает на исполнение
- '%APPDATA%\google\chrome\diagnostics\runtime\cloudworker3102_3019.exe'
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command "$script = [ScriptBlock]::Create(($input | Out-String)); & $script .\def.ps1 C:\\" (со скрытым окном)
- '<SYSTEM32>\notepad.exe' --encargs 585e011d1b121117581f0004101f4541555e0a52051c0a1e5b1b04011d05040719074b02071c5f464140455f00535d4522420c41413e084b3f292016160a56273b34292646112715233933161134534a3e0b21031c191417273b291...
