Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\nvngxupdatecheckdaily_{a5ecd9c6-d9c6-d9c6-d9c6-a5ecd9c6d9c6}
- %WINDIR%\tasks\nghghg.job
- <SYSTEM32>\tasks\nghghg
Вредоносные функции
Загружает и запускает на исполнение
- https://artvida.net/client.exe как $pathtoexe
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\explorer.exe
- %WINDIR%\explorer.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [<HKCU>\Software\Martin Prikryl]
- [<HKLM>\Software\Wow6432Node\Martin Prikryl]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\mozilla\firefox\profiles.ini
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %APPDATA%\opera software\opera stable\login data
- %APPDATA%\thunderbird\profiles.ini
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\9ad.tmp
- %TEMP%\9a04.tmp
- %TEMP%\99d4.tmp
- %TEMP%\99d3.tmp
- %TEMP%\99c3.tmp
- %TEMP%\99a2.tmp
- %TEMP%\9915.tmp
- %TEMP%\98f4.tmp
- %TEMP%\98d4.tmp
- %TEMP%\98d3.tmp
- %TEMP%\9817.tmp
- %TEMP%\9816.tmp
- %TEMP%\97e6.tmp
- %TEMP%\9a04.tmp-shm
- %TEMP%\97d5.tmp
- %TEMP%\911c.tmp-shm
- %TEMP%\911c.tmp
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %PROGRAMDATA%\gtenwgp\nghghg.exe
- %TEMP%\7c5e.tmp.bat
- %TEMP%\5d2d.tmp.exe
- %TEMP%\3919.tmp.exe
- %APPDATA%\tvitegg
- %APPDATA%\suehihs
- %TEMP%\919a.tmp
- %LOCALAPPDATA%low\ecckedlhhief.chb
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\suehihs
- %APPDATA%\tvitegg
Удаляет следующие файлы
- %TEMP%\911c.tmp-shm
- %TEMP%\9a04.tmp-shm
- %TEMP%\99d4.tmp
- %TEMP%\99d3.tmp
- %TEMP%\99c3.tmp
- %TEMP%\99a2.tmp
- %TEMP%\9915.tmp
- %TEMP%\98f4.tmp
- %TEMP%\98d4.tmp
- %TEMP%\98d3.tmp
- %TEMP%\9817.tmp
- %TEMP%\9816.tmp
- %TEMP%\97e6.tmp
- %TEMP%\97d5.tmp
- %TEMP%\919a.tmp
- %TEMP%\911c.tmp
- %TEMP%\9a04.tmp
- %LOCALAPPDATA%low\ecckedlhhief.chb
Подменяет следующие файлы
- %LOCALAPPDATA%low\ecckedlhhief.chb
Самоудаляется.
Сетевая активность
TCP
Запросы HTTP POST
- http://18#.#41.62.161/gate/cfg/?po############################
- http://se######techsupport.best/
- http://18#.#41.62.161/gate/log?po##################################################################################################################################################
- http://18#.#41.62.161/gate/log/?po##################################################################################################################################################
UDP
- DNS ASK se#####-techsupport.xyz
- DNS ASK se######techsupport.best
- DNS ASK wi####tionsocks.com
- DNS ASK wi####tionsocks.xyz
Другое
Создает и запускает на исполнение
- '%TEMP%\3919.tmp.exe'
- '%TEMP%\5d2d.tmp.exe'
- '%PROGRAMDATA%\gtenwgp\nghghg.exe' start
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\7C5E.tmp.bat" "' (со скрытым окном)
- '%PROGRAMDATA%\gtenwgp\nghghg.exe' start' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\7C5E.tmp.bat" "
- '%WINDIR%\syswow64\explorer.exe'
- '%WINDIR%\explorer.exe'
