Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'chromebrowser' = '"%WINDIR%\chromebrowser.exe"'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Изменяет следующие настройки браузера Windows Internet Explorer
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments] 'SaveZoneInformation' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Associations] 'LowRiskFileTypes' = '.avi;.bat;.com;.cmd;.exe;.htm;.html;.lnk;.mpg;.mpeg;.mov;.mp3;.msi;.m3u;.rar;.reg;.txt;.vbs;.wav;....
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_ir_sf_temp_0\irsetup.exe
- %TEMP%\_ir_sf_temp_0\lua5.1.dll
- %TEMP%\_ir_sf_temp_0\irsetup.dat
- %TEMP%\_ir_sf_temp_0\irimg1.jpg
- %TEMP%\_ir_sf_temp_0\irimg2.jpg
- %TEMP%\_ir_sf_temp_0\amosetup.enc
- %TEMP%\_ir_sf_temp_0\dxdiag.enc
- %TEMP%\_ir_sf_temp_0\after.exe
- %TEMP%\_ir_sf_temp_0\msconfig.enc
- %TEMP%\_ir_sf_temp_0\bb.enc
- %WINDIR%\chromebrowser.exe
- %TEMP%\dxdiag.exe
- %TEMP%\codecfixdivx.exe
Удаляет следующие файлы
- %TEMP%\_ir_sf_temp_0\irsetup.dat
Сетевая активность
UDP
- DNS ASK ge#.##peskycha.club
- DNS ASK ge#.##leonpeac.club
Другое
Ищет следующие окна
- ClassName: '' WindowName: 'CodecFixDivx'
- ClassName: '' WindowName: 'Preparing setup...'
Создает и запускает на исполнение
- '%TEMP%\_ir_sf_temp_0\irsetup.exe' __IRAOFF:1790722 "__IRAFN:<Полный путь к файлу>" "__IRCT:1" "__IRTSS:0" "__IRSID:S-1-5-21-1960123792-2022915161-3775307078-1001"
- '%TEMP%\dxdiag.exe'
- '%TEMP%\codecfixdivx.exe'
