Техническая информация
Вредоносные функции
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
Изменения в файловой системе
Создает следующие файлы
- %ProgramFiles(x86)%\google\chrome\application\version.dll
- %WINDIR%\installer\msic742.tmp
- %WINDIR%\installer\msic6c4.tmp
- %WINDIR%\installer\msibb49.tmp
- %WINDIR%\installer\msibafa.tmp
- %WINDIR%\installer\msibabb.tmp
- %WINDIR%\installer\msib7db.tmp
- %WINDIR%\installer\107d91.ipi
- %WINDIR%\installer\msiad7a.tmp
- %WINDIR%\installer\107d8e.msi
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\node-v6.10.3-x86[1].msi
- %APPDATA%\microsoft\windows\cookies\user@nodejs[1].txt
- %WINDIR%\installer\{831d1356-b623-4d3c-8aad-28c00557a4c6}\{42dae3db-bbea-412b-9484-c7375f104a16}.xpi
- %APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\crashes
- %APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\minidumps
- %APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\datareporting
- %ProgramFiles(x86)%\mozilla firefox\zlib1.dll
- %WINDIR%\syswow64\grouppolicy\gpt.ini
- %WINDIR%\installer\{f5f1b955-a2e5-45c3-a189-14c7b979aac0}\xccpmbigklkdmjbpnfpkapbncnmbahgdnml
- %WINDIR%\installer\{f5f1b955-a2e5-45c3-a189-14c7b979aac0}\cccpmbigklkdmjbpnfpkapbncnmbahgdnrx
- %WINDIR%\installer\msic781.tmp
- C:\config.msi\107d92.rbs
Удаляет следующие файлы
- %WINDIR%\installer\msiad7a.tmp
- %WINDIR%\installer\msibabb.tmp
- %WINDIR%\installer\msibafa.tmp
- %WINDIR%\installer\msibb49.tmp
- %WINDIR%\installer\msic6c4.tmp
- %WINDIR%\installer\msic742.tmp
- %WINDIR%\installer\msic781.tmp
Подменяет следующие файлы
- %APPDATA%\Mozilla\Firefox\Profiles\gn7ryp3k.default\user.js
- %PROGRAMDATA%\ntuser.pol
- %APPDATA%\Mozilla\Firefox\Profiles\gn7ryp3k.default\secmod.db
- %APPDATA%\Mozilla\Firefox\Profiles\gn7ryp3k.default\healthreport.sqlite
Сетевая активность
Подключается к
- 'no##js.org':443
TCP
Запросы HTTP GET
- http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/02FAF3E291435468607857694DF5E45B68851868.crt
UDP
- DNS ASK no##js.org
Другое
Ищет следующие окна
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\sc.exe' config gupdate start= disabled' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' config MozillaMaintenance start= disabled' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' stop gupdate' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' stop MozillaMaintenance' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' config gupdatem start= disabled' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' stop gupdatem' (со скрытым окном)
- '%WINDIR%\syswow64\msiexec.exe' /i "<LS_APPDATA>\Microsoft\Windows\<INETFILES>\Content.IE5\CAASBYCL\node-v6.10.3-x86[1].msi" /quiet' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\sc.exe' config gupdate start= disabled
- '%WINDIR%\syswow64\sc.exe' config MozillaMaintenance start= disabled
- '%WINDIR%\syswow64\sc.exe' stop gupdate
- '%WINDIR%\syswow64\sc.exe' stop MozillaMaintenance
- '%WINDIR%\syswow64\sc.exe' config gupdatem start= disabled
- '%WINDIR%\syswow64\sc.exe' stop gupdatem
- '<SYSTEM32>\raserver.exe' /offerraupdate
- '%WINDIR%\syswow64\msiexec.exe' /i "<LS_APPDATA>\Microsoft\Windows\<INETFILES>\Content.IE5\CAASBYCL\node-v6.10.3-x86[1].msi" /quiet
- '%WINDIR%\syswow64\msiexec.exe' -Embedding 5E5EC1183285D9F4C4544D52A5D90E53
