Trojan.Inject3.20313

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'SecurityHealth' = '<LS_APPDATA>\Brow\ibox32.exe'

Изменения в файловой системе

Создает следующие файлы

<LS_APPDATA>\brow\ibox32.exe
<LS_APPDATA>\google\chrome\test1\default\network action predictor
<LS_APPDATA>\google\chrome\test1\default\login data-journal
%TEMP%\etilqs_rledbszintp1psn
<LS_APPDATA>\google\chrome\test1\default\login data
<LS_APPDATA>\google\chrome\test1\default\current session
<LS_APPDATA>\google\chrome\test1\default\visited links
%TEMP%\2902.tmp
%TEMP%\scoped_dir_2524_12447\docs.crx
%TEMP%\2941.tmp
%TEMP%\scoped_dir_2524_15611\drive.crx
%TEMP%\2962.tmp
<LS_APPDATA>\google\chrome\test1\default\extension rules\000001.dbtmp
%TEMP%\scoped_dir_2524_4513\youtube.crx
%TEMP%\scoped_dir_2524_20538\search.crx
%TEMP%\2993.tmp
%TEMP%\scoped_dir_2524_1856\gmail.crx
<LS_APPDATA>\google\chrome\test1\default\cache\index
<LS_APPDATA>\google\chrome\test1\default\cache\data_0
<LS_APPDATA>\google\chrome\test1\default\cache\data_1
<LS_APPDATA>\google\chrome\test1\default\cache\data_2
<LS_APPDATA>\google\chrome\test1\default\cache\data_3
<LS_APPDATA>\google\chrome\test1\default\gpucache\index
<LS_APPDATA>\google\chrome\test1\default\gpucache\data_0
<LS_APPDATA>\google\chrome\test1\default\gpucache\data_1
<LS_APPDATA>\google\chrome\test1\default\shortcuts
<LS_APPDATA>\google\chrome\test1\default\network action predictor-journal
<LS_APPDATA>\google\chrome\test1\default\shortcuts-journal
<LS_APPDATA>\google\chrome\test1\default\2008.tmp
<LS_APPDATA>\google\chrome\test1\default\top sites
<LS_APPDATA>\brow\rcx8436.tmp
<LS_APPDATA>\brow\rcx93c8.tmp
<LS_APPDATA>\brow\rcxa434.tmp
%HOMEPATH%\appdata\@con2.bin
<LS_APPDATA>\mode3.bin
<LS_APPDATA>\@000001.dat
<LS_APPDATA>\google\chrome\clocal.dat
<LS_APPDATA>\google\chrome\local.dat
<LS_APPDATA>\google\chrome\plug\script.js
<LS_APPDATA>\google\chrome\plug\manifest.json
<LS_APPDATA>\google\chrome\plug\main.html
<LS_APPDATA>\google\chrome\test1\default\gpucache\data_2
%TEMP%\2982.tmp
<LS_APPDATA>\google\chrome\test1\default\extension rules\manifest-000001
<LS_APPDATA>\google\chrome\test1\default\web data-journal
%TEMP%\etilqs_bpz40zkt3juppvu
<LS_APPDATA>\google\chrome\test1\default\web data
<LS_APPDATA>\google\chrome\test1\default\history-journal
%TEMP%\etilqs_cqqkik5c8mdce6f
<LS_APPDATA>\google\chrome\test1\default\history
<LS_APPDATA>\google\chrome\test1\default\favicons-journal
%TEMP%\etilqs_65sch5sgr9bz5tj
<LS_APPDATA>\google\chrome\test1\default\favicons
<LS_APPDATA>\google\chrome\test1\default\top sites-journal
%TEMP%\etilqs_dheyoghf6hpmdkf
<LS_APPDATA>\brow\rcx7cd3.tmp
<LS_APPDATA>\google\chrome\test1\default\extension rules\log
<LS_APPDATA>\google\chrome\test1\default\gpucache\data_3

Присваивает атрибут 'скрытый' для следующих файлов

%HOMEPATH%\appdata\@con2.bin
<LS_APPDATA>\mode3.bin

Удаляет следующие файлы

<LS_APPDATA>\google\chrome\test1\default\2008.tmp
%TEMP%\2902.tmp
%TEMP%\2941.tmp
%TEMP%\2962.tmp
%TEMP%\2982.tmp
%TEMP%\2993.tmp
%TEMP%\scoped_dir_2524_12447\docs.crx
%TEMP%\scoped_dir_2524_1856\gmail.crx
%TEMP%\scoped_dir_2524_15611\drive.crx
%TEMP%\scoped_dir_2524_4513\youtube.crx

Перемещает следующие файлы

<LS_APPDATA>\brow\rcx7cd3.tmp в <LS_APPDATA>\brow\ibox32.exe
<LS_APPDATA>\brow\rcx8436.tmp в <LS_APPDATA>\brow\ibox32.exe
<LS_APPDATA>\brow\rcx93c8.tmp в <LS_APPDATA>\brow\ibox32.exe
<LS_APPDATA>\brow\rcxa434.tmp в <LS_APPDATA>\brow\ibox32.exe
<LS_APPDATA>\google\chrome\test1\default\extension rules\000001.dbtmp в <LS_APPDATA>\google\chrome\test1\default\extension rules\current

Сетевая активность

UDP

DNS ASK ip##pi.com
DNS ASK #S##################################.##########################8V>8Q>8P>8S>8R>8TUT>8U>.8U>8]]]]>8eeeeeeeeeeeee.eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee...
DNS ASK google.com
'20#.#44.104.137':123

Другое

Ищет следующие окна

ClassName: 'Chrome_MessageWindow' WindowName: '<LS_APPDATA>\Google\Chrome\test1'

Создает и запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /C type nul > "<Полный путь к файлу>:Zone.Identifier"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /C type nul > "<Полный путь к файлу>:Zone.Identifier"
'%ProgramFiles(x86)%\google\chrome\application\chrome.exe' --disable-notifications --no-first-run --no-ping --no-sandbox --disable-low-res-tiling --enable-low-res-tilin --ignore-certificate-errors --multi-profiles --disable-translate --disable-i...
'%ProgramFiles(x86)%\google\chrome\application\chrome.exe' --type=gpu-process --channel="2524.0.1266862447\1584084597" --no-sandbox --user-data-dir="<LS_APPDATA>\Google\Chrome\test1" --supports-dual-gpus=false --gpu-driver-bug-workarounds=1,19,42 --gpu...
'%ProgramFiles(x86)%\google\chrome\application\chrome.exe' --type=renderer --disable-low-res-tiling --disable-notifications --no-sandbox --enable-deferred-image-decoding --lang=en-US --user-data-dir="<LS_APPDATA>\Google\Chrome\test1" --enable-offline-a...
'%WINDIR%\syswow64\ctfmon.exe'
'%ProgramFiles(x86)%\google\chrome\application\chrome.exe' --type=renderer --disable-low-res-tiling --disable-notifications --no-sandbox --enable-deferred-image-decoding --lang=en-US --user-data-dir="<LS_APPDATA>\Google\Chrome\test1" --extension-proces...