Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- msedge.exe
- launcher.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [HKCU\Software\SimonTatham\PuTTY\Sessions]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
- %APPDATA%\mozilla\firefox\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\svcada5.exe
- nul
- %TEMP%\wsl_06360690_f5fde6b5b4bd\pc.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\product_keys.txt
- %TEMP%\nscb45c.tmp
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\desktop\cveuropeo.doc
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\desktop\desktop.ini
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\desktop\file_p_00000000_1371597592.docx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\desktop\hadac_newsletter_july_2010_final.docx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\desktop\lisp_success.doc
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\desktop\nwfieldnotes1966.docx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\desktop\thlps_keeper_mayer_1965.docx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\anketa.doc
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\balans.xls
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\balans.xlsx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\balans2.xls
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\brifing.ppt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\brifing.pptx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\brifing2.ppt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\brifing3.pptx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\budget.xls
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\budget.xlsx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\budget2.xls
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\budget3.xlsx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\changelog.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\chernovik.doc
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\chernovik.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\citaty.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\demo-versia.ppt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\demo-versia.pptx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\demo-versia2.pptx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\desktop.ini
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\dnevnik.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\doklad.ppt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\doklad.pptx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\doklad2.pptx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\dolgi.xls
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\dolgi.xlsx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\dolgi2.xls
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\dolgi3.xlsx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\grafik-work.xls
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\grafik-work.xlsx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\grafik-work2.xls
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\idei.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\idei2.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\instruktsia.doc
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\instruktsia.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\instruktsia2.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\inventar.xls
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\inventar.xlsx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\inventar2.xls
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\itogi-goda.ppt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\kassa.xls
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\kommentarii.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\kommentarii2.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\konspekt.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\konspekt2.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\kontakty.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\readme.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\readme2.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\recept.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\recept2.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\shpargalka.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\shpargalka2.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\spisok.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\spisok2.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\ssylki.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\thumbs (5).db
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\todo-list.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\todo-list2.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\vopros.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\vopros2.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\vyvody.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\zagotovka.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\zametki.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\zametki2.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\downloads\desktop.ini
- %TEMP%\nsdb_3464_1_l.db
- %TEMP%\nsdb_3464_2_w.db
- %TEMP%\nsdump_3464\dse.exe
- %TEMP%\nsdump_3464\dllextractchromiumsecrets.dll
- %TEMP%\tmpc312.tmp
- %TEMP%\tmpc313.tmp
- %TEMP%\tmpc314.tmp
- %TEMP%\tmpc324.tmp
- %TEMP%\tmpc535.tmp
- %TEMP%\nsdump_3464\edgedata.json
- %TEMP%\tmpc7d9.tmp
- %TEMP%\nsdump_3464\dumper.log
- %TEMP%\nsdump_3464\operadata.json
- %TEMP%\tmp2cf.tmp
- %TEMP%\tmp30f.tmp
- %TEMP%\tmp34e.tmp
- %TEMP%\tmp42a.tmp
- %TEMP%\tmp479.tmp
- %TEMP%\nsdump_3464\firefoxdata.json
- %TEMP%\wsl_06360690_f5fde6b5b4bd\passwords.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\dumper_log.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\screen.jpg
- %TEMP%\nsrep_06360690_f5fde6b5b4bd.zip
Удаляет файлы, которые сам же создал
- %TEMP%\nscb45c.tmp
- %TEMP%\nsdb_3464_1_l.db
- %TEMP%\nsdb_3464_2_w.db
- %TEMP%\tmpc535.tmp
- %TEMP%\tmpc312.tmp
- %TEMP%\tmpc313.tmp
- %TEMP%\tmpc314.tmp
- %TEMP%\tmpc324.tmp
- %TEMP%\tmpc7d9.tmp
- %TEMP%\tmp2cf.tmp
- %TEMP%\tmp30f.tmp
- %TEMP%\tmp34e.tmp
- %TEMP%\tmp42a.tmp
- %TEMP%\tmp479.tmp
- %TEMP%\nsdump_3464\dllextractchromiumsecrets.dll
- %TEMP%\nsdump_3464\dse.exe
- %TEMP%\nsdump_3464\dumper.log
- %TEMP%\nsdump_3464\edgedata.json
- %TEMP%\nsdump_3464\firefoxdata.json
- %TEMP%\nsdump_3464\operadata.json
- %TEMP%\nsrep_06360690_f5fde6b5b4bd.zip
- %TEMP%\wsl_06360690_f5fde6b5b4bd\dumper_log.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\passwords.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\pc.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\product_keys.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\screen.jpg
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\desktop\cveuropeo.doc
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\desktop\desktop.ini
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\desktop\file_p_00000000_1371597592.docx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\desktop\hadac_newsletter_july_2010_final.docx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\desktop\lisp_success.doc
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\desktop\nwfieldnotes1966.docx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\desktop\thlps_keeper_mayer_1965.docx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\anketa.doc
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\balans.xls
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\balans.xlsx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\balans2.xls
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\brifing.ppt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\brifing.pptx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\brifing2.ppt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\brifing3.pptx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\budget.xls
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\budget.xlsx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\budget2.xls
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\budget3.xlsx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\changelog.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\chernovik.doc
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\chernovik.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\citaty.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\demo-versia.ppt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\demo-versia.pptx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\demo-versia2.pptx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\desktop.ini
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\dnevnik.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\doklad.ppt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\doklad.pptx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\doklad2.pptx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\dolgi.xls
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\dolgi.xlsx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\dolgi2.xls
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\dolgi3.xlsx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\grafik-work.xls
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\grafik-work.xlsx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\grafik-work2.xls
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\idei.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\idei2.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\instruktsia.doc
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\instruktsia.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\instruktsia2.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\inventar.xls
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\inventar.xlsx
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\inventar2.xls
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\itogi-goda.ppt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\kassa.xls
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\kommentarii.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\kommentarii2.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\konspekt.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\konspekt2.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\kontakty.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\readme.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\readme2.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\recept.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\recept2.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\shpargalka.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\shpargalka2.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\spisok.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\spisok2.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\ssylki.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\thumbs (5).db
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\todo-list.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\todo-list2.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\vopros.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\vopros2.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\vyvody.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\zagotovka.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\zametki.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\documents\zametki2.txt
- %TEMP%\wsl_06360690_f5fde6b5b4bd\filegrabber\downloads\desktop.ini
Сетевая активность
Подключается к
- '2.##.14.113':8000
TCP
Запросы HTTP POST
- http://2.##.#4.113:8000/victim/upload?bu#########################################################################################################################################################...
Другое
Создает и запускает на исполнение
- '%TEMP%\svcada5.exe'
- '%TEMP%\nsdump_3464\dse.exe' /b:all /e:all
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ping 127.0.0.1 -n 3 > nul & del /f /q "<Полный путь к файлу>" (со скрытым окном)
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 3
- '<SYSTEM32>\cmd.exe' /c netsh wlan show profiles
- '<SYSTEM32>\netsh.exe' wlan show profiles
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --headless=new --disable-gpu --remote-debugging-port=9222 --disable-background-timer-throttling
- '%ProgramFiles(x86)%\opera\launcher.exe' --headless=new --disable-gpu --remote-debugging-port=9222 --disable-background-timer-throttling
