Trojan.DownLoader34.13060

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Classes\ngm\Shell\Open\Command] '' = '"%PROGRAMDATA%\Nexon\NGM\NGM64.exe" "%1"'

Изменения в файловой системе

Создает следующие файлы

%PROGRAMDATA%\nexon\ngm\ngm.exe_0.tmp.tmp
%PROGRAMDATA%\nexon\ngm\ngm_patch\202007220552\webview_x64\chrome_elf.dll.9d768750.nxgz
%PROGRAMDATA%\nexon\ngm\ngm_patch\202007220552\webview_x64\cef_extensions.pak.32099f46.nxgz
%PROGRAMDATA%\nexon\ngm\ngm_patch\202007220552\webview_x64\cef_200_percent.pak.7c1d55c0.nxgz
%PROGRAMDATA%\nexon\ngm\ngm_patch\202007220552\webview_x64\cef_100_percent.pak.97432a00.nxgz
%PROGRAMDATA%\nexon\ngm\ngm_patch\202007220552\webview_x64\cef.pak.7a9b20a3.nxgz
%PROGRAMDATA%\nexon\ngm\ngm_patch\202007220552\files.nfo2
%PROGRAMDATA%\microsoft\crypto\rsa\machinekeys\df01e8e8ba8eff2297768d952f359a32_36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee
%PROGRAMDATA%\nexon\ngm\ngm.log
%PROGRAMDATA%\nexon\ngm\crashreporter_64.dll_0.tmp
%PROGRAMDATA%\nexon\ngm\crashreporter_64.dll_0.tmp.gz
%PROGRAMDATA%\nexon\ngm\ngmdll64.dll_0.tmp
%PROGRAMDATA%\nexon\ngm\ngmdll64.dll_0.tmp.gz
%PROGRAMDATA%\nexon\ngm\ngm64.exe_0.tmp.tmp
%PROGRAMDATA%\nexon\common\nl1gr.tmp
%PROGRAMDATA%\nexon\common\nl1gr.tmp.gz
%PROGRAMDATA%\nexon\ngm\sig.exe
%PROGRAMDATA%\nexon\ngm\ngmresource.dll
%PROGRAMDATA%\nexon\ngm\ngmresource.dll.gz
<Текущая директория>\ngm.log
%PROGRAMDATA%\nexon\ngm\crashreporter.dll_0.tmp
%PROGRAMDATA%\nexon\ngm\crashreporter.dll_0.tmp.gz
%PROGRAMDATA%\nexon\ngm\ngmdll.dll_0.tmp
%PROGRAMDATA%\nexon\ngm\ngmdll.dll_0.tmp.gz
%PROGRAMDATA%\nexon\ngm\ngm_patch\202007220552\webview_x64\d3dcompiler_47.dll.dd738bdc.nxgz
%PROGRAMDATA%\nexon\ngm\ngm_patch\202007220552\webview_x64\devtools_resources.pak.c4579a6f.nxgz

Удаляет следующие файлы

%PROGRAMDATA%\nexon\ngm\ngmdll.dll_0.tmp.gz
%PROGRAMDATA%\nexon\ngm\crashreporter.dll_0.tmp.gz
%PROGRAMDATA%\nexon\ngm\ngmresource.dll.gz
%PROGRAMDATA%\nexon\common\nl1gr.tmp.gz
%PROGRAMDATA%\nexon\ngm\ngmdll64.dll_0.tmp.gz
%PROGRAMDATA%\nexon\ngm\crashreporter_64.dll_0.tmp.gz
%PROGRAMDATA%\microsoft\crypto\rsa\machinekeys\df01e8e8ba8eff2297768d952f359a32_36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee

Перемещает следующие файлы

%PROGRAMDATA%\nexon\ngm\ngm.exe_0.tmp.tmp в %PROGRAMDATA%\nexon\ngm\ngm.exe_0.tmp
%PROGRAMDATA%\nexon\ngm\ngm.exe_0.tmp в %PROGRAMDATA%\nexon\ngm\ngm.exe
%PROGRAMDATA%\nexon\ngm\ngmdll.dll_0.tmp в %PROGRAMDATA%\nexon\ngm\ngmdll.dll
%PROGRAMDATA%\nexon\ngm\crashreporter.dll_0.tmp в %PROGRAMDATA%\nexon\ngm\crashreporter.dll
%PROGRAMDATA%\nexon\ngm\ngm64.exe_0.tmp.tmp в %PROGRAMDATA%\nexon\ngm\ngm64.exe_0.tmp
%PROGRAMDATA%\nexon\ngm\ngm64.exe_0.tmp в %PROGRAMDATA%\nexon\ngm\ngm64.exe
%PROGRAMDATA%\nexon\ngm\ngmdll64.dll_0.tmp в %PROGRAMDATA%\nexon\ngm\ngmdll64.dll
%PROGRAMDATA%\nexon\ngm\crashreporter_64.dll_0.tmp в %PROGRAMDATA%\nexon\ngm\crashreporter_64.dll

Сетевая активность

TCP

Запросы HTTP GET

http://pl####rm.nexon.com/NGM/Json/NGMUpdateInfo.json
http://pl####rm.nexon.com/NGM/Bin/webview_x64/webview_x64/chrome_elf.dll.9d768750.nxgz
http://pl####rm.nexon.com/NGM/Bin/webview_x64/webview_x64/cef_extensions.pak.32099f46.nxgz
http://pl####rm.nexon.com/NGM/Bin/webview_x64/webview_x64/cef_200_percent.pak.7c1d55c0.nxgz
http://pl####rm.nexon.com/NGM/Bin/webview_x64/webview_x64/cef_100_percent.pak.97432a00.nxgz
http://pl####rm.nexon.com/NGM/Bin/webview_x64/webview_x64/cef.pak.7a9b20a3.nxgz
http://pl####rm.nexon.com/NGM/Bin/webview_x64/files.nfo2
http://pl####rm.nexon.com/NGM/Bin/CrashReporter_64.dll.gz
http://pl####rm.nexon.com/NGM/Bin/webview_x64/webview_x64/d3dcompiler_47.dll.dd738bdc.nxgz
http://pl####rm.nexon.com/NGM/Bin/NGMDll64.dll.gz
http://pl####rm.nexon.com/NGM/Bin/NGM64.exe
http://pl####rm.nexon.com/NGM/Bin/NEXONLv1GothicRegular.ttf.gz
http://pl####rm.nexon.com/NGM/Bin/NGMResourceKR.dll.gz
http://pl####rm.nexon.com/NGM/XML/NGMResource.xml
http://pl####rm.nexon.com/NGM/Bin/CrashReporter.dll.gz
http://pl####rm.nexon.com/NGM/Bin/NGMDll.dll.gz
http://pl####rm.nexon.com/NGM/Bin/NGM.exe
http://pl####rm.nexon.com/NGM/Bin/ResourceList.txt
http://pl####rm.nexon.com/NGM/Bin/webview_x64/webview_x64/devtools_resources.pak.c4579a6f.nxgz