Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\nvngxupdatecheckdaily_{c83f61d3-61d3-61d3-61d3-c83f61d361d3}
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im NS-*
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ns-dieif.tmp\ns-g5od9.tmp
- %TEMP%\ns-pngdm.tmp\_shfoldr.dll
- %TEMP%\ns-pngdm.tmp\_iscrypt.dll
- %TEMP%\ns-pngdm.tmp\tmp\ns-5ianc.tmp
- %TEMP%\ns-pngdm.tmp\tmp\ns-guks4.tmp
- %TEMP%\ns-pngdm.tmp\tmp\ns-pngp4.tmp
- %TEMP%\nsa356.tmp\8eeof98s2.bat
- %TEMP%\nsa356.tmp\chrome.exe
- %TEMP%\nsa356.tmp\chromesetup.exe
- %TEMP%\9e5e.tmp
- %APPDATA%\evdhhtw
- %APPDATA%\jeurdie
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\evdhhtw
- %APPDATA%\jeurdie
Удаляет следующие файлы
- %TEMP%\ns-dieif.tmp\ns-g5od9.tmp
- %TEMP%\ns-pngdm.tmp\tmp\chrome.exe
- %TEMP%\ns-pngdm.tmp\_iscrypt.dll
- %TEMP%\ns-pngdm.tmp\_shfoldr.dll
- %APPDATA%\google\chrome.exe
- %TEMP%\9e5e.tmp
Перемещает следующие файлы
- %TEMP%\ns-pngdm.tmp\tmp\ns-5ianc.tmp в %TEMP%\ns-pngdm.tmp\tmp\8eeof98s2.bat
- %TEMP%\ns-pngdm.tmp\tmp\ns-guks4.tmp в %TEMP%\ns-pngdm.tmp\tmp\chrome.exe
- %TEMP%\ns-pngdm.tmp\tmp\ns-pngp4.tmp в %TEMP%\ns-pngdm.tmp\tmp\chromesetup.exe
- %TEMP%\nsa356.tmp\chromesetup.exe в %TEMP%\ns-pngdm.tmp\tmp\chromesetup.exe
- %TEMP%\nsa356.tmp\chrome.exe в %APPDATA%\google\chrome.exe
Подменяет следующие файлы
- %TEMP%\9e5e.tmp
Сетевая активность
Подключается к
- 'se####tagroup.xyz':80
TCP
Запросы HTTP POST
- http://se####tagroup.xyz/seo/
UDP
- DNS ASK se####tagroup.xyz
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\ns-dieif.tmp\ns-g5od9.tmp' /SL4 $70242 <Полный путь к файлу> 1620345 55808 /password=kuefgnn /verysilent
- '%APPDATA%\google\chrome.exe'
- '%APPDATA%\evdhhtw'
- '%WINDIR%\syswow64\cmd.exe' /C ""%TEMP%\NS-PNGDM.tmp\tmp\8eeof98s2.bat""' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /s /n /u /i:"%APPDATA%\jeurdie" scrobj' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ""%TEMP%\NS-PNGDM.tmp\tmp\8eeof98s2.bat""
- '%WINDIR%\syswow64\xcopy.exe' /Y /I "%TEMP%\NS-PNGDM.tmp\tmp\*" "%TEMP%\nsa356.tmp\"
- '%WINDIR%\syswow64\cmd.exe' /c wmic process where "Name='ChromeSetup.exe'" get ExecutablePath /value| findstr
- '%WINDIR%\syswow64\wbem\wmic.exe' process where "Name='ChromeSetup.exe'" get ExecutablePath /value
- '%WINDIR%\syswow64\findstr.exe'
- '%WINDIR%\syswow64\tasklist.exe' /FI "IMAGENAME eq ChromeSetup.exe" /NH
- '%WINDIR%\syswow64\findstr.exe' /i "ChromeSetup.exe"
- '<SYSTEM32>\taskeng.exe' {5E9D8C13-D2E3-42E6-AB09-E57BDADBCDCD} S-1-5-21-1960123792-2022915161-3775307078-1001:mtdqhigmz\user:Interactive:[1]
- '<SYSTEM32>\regsvr32.exe' /s /n /u /i:"%APPDATA%\jeurdie" scrobj
