Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MarketAdvior' = '"%APPDATA%\MarketAdvior\python\pythonw.exe" "load.pyc" ml2'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'ZaxarLoader' = '"%ProgramFiles(x86)%\Zaxar\ZaxarLoader.exe" /verysilent'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\marketadvior
- <SYSTEM32>\tasks\marketadvior2
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im "ZaxarLoader.exe"
- '%WINDIR%\syswow64\taskkill.exe' /f /im "ZaxarGameBrowser.exe"
- '%WINDIR%\syswow64\taskkill.exe' /f /im "gamesdepartupdate.exe"
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\metadata\f0accf77cdcbff39f6191887f6d2d357
- %APPDATA%\marketadvior\python\vcruntime140.dll
- %APPDATA%\marketadvior\python\winsound.pyd
- %TEMP%\nscd620.tmp\nsexec.dll
- %APPDATA%\marketadvior\pi.txt
- %APPDATA%\marketadvior\subid.txt
- %APPDATA%\marketadvior\pbid.txt
- %APPDATA%\marketadvior\pburl.txt
- %APPDATA%\marketadvior\pb2url.txt
- %APPDATA%\marketadvior\uuid.txt
- %APPDATA%\marketadvior\pbsent.txt
- %TEMP%\3rf_nal1
- %TEMP%\tmp6t02nrks
- %APPDATA%\marketadvior\python\_msi.pyd
- %APPDATA%\marketadvior\uninstall.exe
- %TEMP%\tmp35iivtav
- %TEMP%\nsya9d.tmp\nsexec.dll
- %TEMP%\nsya9d.tmp\accesscontrol.dll
- %ProgramFiles(x86)%\zaxar\zaxarloader.exe
- %ProgramFiles(x86)%\zaxar\cancelbutton.bmp
- %ProgramFiles(x86)%\zaxar\uninstall.exe
- %TEMP%\nsya9d.tmp\uac.dll
- %PROGRAMDATA%\microsoft\windows\start menu\programs\zaxargamebrowser\zaxargamebrowser.lnk
- %PROGRAMDATA%\microsoft\windows\start menu\programs\zaxargamebrowser\zaxarupdate.lnk
- %TEMP%\gamesdepart.000.1827.0.exe
- %TEMP%\is-8207q.tmp\gamesdepart.000.1827.0.tmp
- %TEMP%\is-vo15g.tmp\_isetup\_setup64.tmp
- %APPDATA%\marketadvior\python\sqlite3.dll
- %APPDATA%\marketadvior\python\unicodedata.pyd
- %APPDATA%\marketadvior\python\select.pyd
- %APPDATA%\marketadvior\python\pythonw.exe
- %APPDATA%\marketadvior\python\python37.zip
- %TEMP%\marketadvior.exe
- %TEMP%\nsdcbde.tmp
- %APPDATA%\marketadvior\load.bin
- %APPDATA%\marketadvior\load.pyc
- %APPDATA%\marketadvior\mcfckchjhehcdgoeihjjjbkcdpdfmloa.crx
- %APPDATA%\marketadvior\python\license.txt
- %APPDATA%\marketadvior\python\_asyncio.pyd
- %APPDATA%\marketadvior\python\_bz2.pyd
- %APPDATA%\marketadvior\python\_ctypes.pyd
- %APPDATA%\marketadvior\python\_decimal.pyd
- %APPDATA%\marketadvior\python\_elementtree.pyd
- %APPDATA%\marketadvior\python\_hashlib.pyd
- %TEMP%\is-vo15g.tmp\idp.dll
- %TEMP%\zaxarsetup.4.001.1827.exe
- %APPDATA%\marketadvior\python\_lzma.pyd
- %APPDATA%\marketadvior\python\_overlapped.pyd
- %APPDATA%\marketadvior\python\_queue.pyd
- %APPDATA%\marketadvior\python\_socket.pyd
- %APPDATA%\marketadvior\python\_sqlite3.pyd
- %APPDATA%\marketadvior\python\_ssl.pyd
- %APPDATA%\marketadvior\python\libcrypto-1_1.dll
- %APPDATA%\marketadvior\python\libssl-1_1.dll
- %APPDATA%\marketadvior\python\pyexpat.pyd
- %APPDATA%\marketadvior\python\python.exe
- %APPDATA%\marketadvior\python\python3.dll
- %APPDATA%\marketadvior\python\python37._pth
- %APPDATA%\marketadvior\python\python37.dll
- %WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\content\f0accf77cdcbff39f6191887f6d2d357
- %APPDATA%\marketadvior\python\_multiprocessing.pyd
- %TEMP%\is-frre7.tmp\gamesdepart.000.1827.0.tmp
Удаляет следующие файлы
- %TEMP%\3rf_nal1
- %TEMP%\nscd620.tmp\nsexec.dll
- %TEMP%\tmp6t02nrks
- %TEMP%\tmp35iivtav
- %TEMP%\nsya9d.tmp\accesscontrol.dll
- %TEMP%\nsya9d.tmp\nsexec.dll
- %TEMP%\nsya9d.tmp\uac.dll
- %TEMP%\is-vo15g.tmp\idp.dll
- %TEMP%\is-vo15g.tmp\_isetup\_setup64.tmp
- %TEMP%\is-8207q.tmp\gamesdepart.000.1827.0.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ip###ger.org/11SVE
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
- http://do###nht6.ga/click.php?cn#######################
- http://ya###etn1k.ru/files/MarketAdvior.exe
- http://www.go#####analytics.com/collect?v=#######################################################################################################################################################...
- http://za###store2.com/download.php?ad######
- http://on#####game-group.ru/download.php?ad######
UDP
- DNS ASK ip###ger.org
- DNS ASK do###nht6.ga
- DNS ASK ya###etn1k.ru
- DNS ASK jj###.adsbtrk.com
- DNS ASK go#####analytics.com
- DNS ASK za###store2.com
- DNS ASK on#####game-group.ru
- DNS ASK za###games.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\marketadvior.exe' /S /pb=https://jjmyn.adsbtrk.com/c/f9706f7de562eb2b?SUBID={SUBID}&PUBID={PUBID}&HID={HID}&GEO={GEO}&TS={TS} /pb2=https://jjmyn.adsbtrk.com/c/63ac61070427831d?SUBID={SUBID}&PUBID={PUBID}&HID={HI...
- '%APPDATA%\marketadvior\python\python.exe' load.pyc manage2
- '%TEMP%\is-8207q.tmp\gamesdepart.000.1827.0.tmp' /SL5="$F022E,1011219,721408,%TEMP%\Gamesdepart.000.1827.0.exe" /S
- '%TEMP%\gamesdepart.000.1827.0.exe' /S
- '%ProgramFiles(x86)%\zaxar\zaxarloader.exe' /verysilent /install
- '%TEMP%\gamesdepart.000.1827.0.exe' /VERYSILENT /adv=1827 /subadv=0
- '%TEMP%\zaxarsetup.4.001.1827.exe' /S
- '%APPDATA%\marketadvior\python\python.exe' load.py app
- '%APPDATA%\marketadvior\python\python.exe' load.pyc --subid="{SES}" --pbid="Pao" --pb="https://jjmyn.adsbtrk.com/c/f9706f7de562eb2b?SUBID={SUBID}&PUBID={PUBID}&HID={HID}&GEO={GEO}&TS={TS}" --pb2="https://jjmyn.adsbtrk.com/c/63ac61070427...
- '%APPDATA%\marketadvior\python\python.exe' load.pyc "akgdkknilkblpjcgpjmbjgpamneokmag;djgdgdcfmdkficbifbnaacknblbkhhoc;fdjdjkkjoiomafnihnobkinnfjnnlhdg;mocgkongaoagjoicmbimkiopebgfkich" checkinstalled
- '%APPDATA%\marketadvior\python\python.exe' load.pyc launchall2
- '%TEMP%\is-frre7.tmp\gamesdepart.000.1827.0.tmp' /SL5="$B00D4,1011219,721408,%TEMP%\Gamesdepart.000.1827.0.exe" /VERYSILENT /adv=1827 /subadv=0
- '%APPDATA%\marketadvior\python\python.exe' load.pyc --act=inst ml2
- '%WINDIR%\syswow64\taskkill.exe' /f /im "ZaxarGameBrowser.exe"' (со скрытым окном)
- '%APPDATA%\marketadvior\python\python.exe' load.pyc "akgdkknilkblpjcgpjmbjgpamneokmag;djgdgdcfmdkficbifbnaacknblbkhhoc;fdjdjkkjoiomafnihnobkinnfjnnlhdg;mocgkongaoagjoicmbimkiopebgfkich" checkinstalled' (со скрытым окном)
- '%APPDATA%\marketadvior\python\python.exe' load.pyc --subid="{SES}" --pbid="Pao" --pb="https://jjmyn.adsbtrk.com/c/f9706f7de562eb2b?SUBID={SUBID}&PUBID={PUBID}&HID={HID}&GEO={GEO}&TS={TS}" --pb2="https://jjmyn.adsbtrk.com/c/63ac61070427...' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im "ZaxarLoader.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im "gamesdepartupdate.exe"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /f /tn "MarketAdvior" /xml "%TEMP%\tmp6t02nrks"
- '%WINDIR%\syswow64\schtasks.exe' /create /f /tn "MarketAdvior" /xml "%TEMP%\tmp6t02nrks"
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /f /tn "MarketAdvior2" /xml "%TEMP%\tmp35iivtav"
- '%WINDIR%\syswow64\schtasks.exe' /create /f /tn "MarketAdvior2" /xml "%TEMP%\tmp35iivtav"
