Loading malware…
28 distinct techniques documented for this family, organized by ATT&CK tactic.
Для закрепления в системе он маскируется под OneDrive, создает задачу планировщика OneDrive Update с запуском каждую минуту
"the backdoor supports roughly 20 commands covering activities such as remote shell execution..."
Также малварь может запускать команды PowerShell
Remote Access Full remote desktop-style control with keyboard and mouse input via VNC; shell command execution
Для закрепления в системе он маскируется под OneDrive, создает задачу планировщика OneDrive Update с запуском каждую минуту
хранит служебные данные в ветке реестра HKCU\SOFTWARE\OneDrive\Environment ... редактировать реестр
Для закрепления в системе он маскируется под OneDrive, создает задачу планировщика OneDrive Update с запуском каждую минуту
Для закрепления в системе он маскируется под OneDrive
can wipe Windows event logs to cover its tracks
хранит служебные данные в ветке реестра HKCU\SOFTWARE\OneDrive\Environment ... редактировать реестр
Microsoft recommends turning on tamper protection so attackers cannot switch off your antivirus
очищать журналы событий Windows
в изученных образцах специалисты обнаружили пока незадействованные заготовки для кейлоггера
It also collects system details, manages running programs and services...
управлять процессами и службами
собирать информацию о зараженной системе
"the backdoor supports roughly 20 commands covering activities such as remote shell execution, file management..."
"the backdoor supports roughly 20 commands covering activities such as remote shell execution, file management, process control, system reconnaissance, screenshot capture, and hidden remote desktop sessions."
открывать скрытую VNC-сессию, позволяя атакующим управлять клавиатурой и мышью жертвы
в изученных образцах специалисты обнаружили пока незадействованные заготовки для кейлоггера
Files staged in GUID-named directories and exfiltrated to attacker-controlled MinIO infrastructure
бэкдор способен делать скриншоты со всех мониторов, непрерывно записывать экран зараженной машины
Surveillance Screenshot capture, screen recording, process and Windows service enumeration and management
Для связи с управляющей инфраструктурой GigaWiper использует легитимные сервисы: RabbitMQ отвечает за передачу команд, Redis принимает результаты их выполнения
It takes screenshots of every monitor, records the screen while someone is working, and can open a hidden VNC session that streams the display and lets the attacker type and move the mouse.
MinIO Client загружает похищенные файлы в удаленное хранилище
"These included a raw disk wiper that overwrites physical disks and destroys partition information... and a multipass secure wiper ... that repeatedly overwrites files to hinder forensic recovery."
один из модулей малвари основан на коде шифровальщика Crucio: он шифрует файлы, добавляет к ним расширение .candy и меняет обои на рабочем столе. При этом малварь не сохраняет ключ и не оставляет записку с требованием выкупа
управлять процессами и службами
отдельная команда отключает среду восстановления Windows и провоцирует «синий экран смерти», после чего устройство перестает загружаться
A raw disk wiper that overwrites the physical drive and wipes the partition table (the map of how the disk is laid out) before rebooting.
Другой компонент представляет собой переписанный на Go вайпер FlockWiper. Он многократно перезаписывает системный диск, используя разные шаблоны. | Эта версия использует Windows Management Instrumentation (WMI) для идентификации системного раздела Windows, удаляет таблицу разделов, а затем перезаписывает содержимое диска, уничтожает метаданные и перезагружает систему.
11 indicators attributed across vendor reports, sandbox runs, and researcher write-ups. Values are masked here and available in full in Mallory.
2 sources tracked across advisories, community write-ups, and news. New activity surfaces here as Mallory finds it.