Техническая информация
Вредоносные функции
Создает и запускает на исполнение
- '%HOMEPATH%\documents\woenziejxuemzvps.exe' %HOMEPATH%\Documents\SPVZMEUXJEIZNEOW
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [HKCU\Software\RimArts\B2\Settings]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %APPDATA%\mozilla\firefox\profiles.ini
- %APPDATA%\thunderbird\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\documents\spvzmeuxjeizneow
- %HOMEPATH%\documents\woenziejxuemzvps.exe
- %HOMEPATH%\documents\lua51.dll
Изменяет следующие файлы
- %LOCALAPPDATA%\microsoft\vault\userprofileroaming\latest.dat
Сетевая активность
Подключается к
- 'ip##pi.com':80
TCP
Запросы HTTP GET
- http://ip##pi.com/line/?fi############
UDP
- DNS ASK ip##pi.com
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c echo. > "<PATH_SAMPLE>.js:Zone.Identifier" (со скрытым окном)
- '%HOMEPATH%\documents\woenziejxuemzvps.exe' %HOMEPATH%\Documents\SPVZMEUXJEIZNEOW (со скрытым окном)
Использует альтернативные потоки данных NTFS
