Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\WinDivert64] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\WinDivert64] 'ImagePath' = '<DRIVERS>\WinDivert64.sys'
- [<HKLM>\System\CurrentControlSet\Services\Bogard] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\Bogard] 'ImagePath' = '"%ProgramFiles%\Bogard\Bogard.exe"'
- [<HKLM>\System\CurrentControlSet\Services\Bogard_updater_service] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\Bogard_updater_service] 'ImagePath' = '"%ProgramFiles%\Bogard\Bogard_updater_service.exe"'
Создает следующие сервисы
- 'WinDivert64' <DRIVERS>\WinDivert64.sys
- 'Bogard' "%ProgramFiles%\Bogard\Bogard.exe"
- 'Bogard' %ProgramFiles%\Bogard\Bogard.exe
- 'Bogard_updater_service' "%ProgramFiles%\Bogard\Bogard_updater_service.exe"
- 'Bogard_updater_service' %ProgramFiles%\Bogard\Bogard_updater_service.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-vcgip.tmp\<Имя файла>.tmp
- %ProgramFiles%\bogard\bogard.installstate
- %ProgramFiles%\bogard\bogard.installlog
- %ProgramFiles%\bogard\installutil.installlog
- %WINDIR%\temp\udda91a.tmp
- <DRIVERS>\windivert64.sys
- %TEMP%\is-t1nqk.tmp\windivert64.sys
- %ProgramFiles%\bogard\utils.dll
- %TEMP%\is-t1nqk.tmp\editbin.exe
- %TEMP%\is-t1nqk.tmp\utils.dll
- %TEMP%\is-t1nqk.tmp\is-fn3hv.tmp
- %TEMP%\is-t1nqk.tmp\is-ffpvr.tmp
- %ProgramFiles%\bogard\is-dpins.tmp
- %ProgramFiles%\bogard\is-id87b.tmp
- %ProgramFiles%\bogard\is-73jb9.tmp
- %ProgramFiles%\bogard\is-j0t0n.tmp
- %ProgramFiles%\bogard\is-0fur2.tmp
- %ProgramFiles%\bogard\is-1nurp.tmp
- %ProgramFiles%\bogard\is-sm2ac.tmp
- %ProgramFiles%\bogard\is-nbsvh.tmp
- %TEMP%\is-t1nqk.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-t1nqk.tmp\_isetup\_setup64.tmp
- %TEMP%\is-aiv5t.tmp\bogard.tmp
- %TEMP%\is-236jn.tmp\bogard.exe
- %TEMP%\is-236jn.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-236jn.tmp\_isetup\_setup64.tmp
- %ProgramFiles%\bogard\bogard_updater_service.installlog
- %ProgramFiles%\bogard\bogard_updater_service.installstate
Удаляет следующие файлы
- %WINDIR%\temp\udda91a.tmp
Перемещает следующие файлы
- %ProgramFiles%\bogard\is-nbsvh.tmp в %ProgramFiles%\bogard\unins000.exe
- %ProgramFiles%\bogard\is-sm2ac.tmp в %ProgramFiles%\bogard\windivert.dll
- %ProgramFiles%\bogard\is-1nurp.tmp в %ProgramFiles%\bogard\networkutil.dll
- %ProgramFiles%\bogard\is-0fur2.tmp в %ProgramFiles%\bogard\installationstatsuploder.exe
- %ProgramFiles%\bogard\is-j0t0n.tmp в %ProgramFiles%\bogard\newtonsoft.json.dll
- %ProgramFiles%\bogard\is-73jb9.tmp в %ProgramFiles%\bogard\installutil.exe
- %ProgramFiles%\bogard\is-id87b.tmp в %ProgramFiles%\bogard\bogard_updater_service.exe
- %ProgramFiles%\bogard\is-dpins.tmp в %ProgramFiles%\bogard\bogard.exe
- %TEMP%\is-t1nqk.tmp\is-ffpvr.tmp в %TEMP%\is-t1nqk.tmp\editbin.exe
- %TEMP%\is-t1nqk.tmp\is-fn3hv.tmp в %TEMP%\is-t1nqk.tmp\utils.dll
Сетевая активность
TCP
Запросы HTTP GET
- http://ad######s.s3.amazonaws.com/configs/browser.jsonp
UDP
- DNS ASK ad######s.s3.amazonaws.com
Другое
Создает и запускает на исполнение
- '%TEMP%\is-vcgip.tmp\<Имя файла>.tmp' /SL5="$100222,1108563,56832,<Полный путь к файлу>"
- '%TEMP%\is-236jn.tmp\bogard.exe' /VERYSILENT /SUBID=bogard2
- '%TEMP%\is-aiv5t.tmp\bogard.tmp' /SL5="$C0022,566560,322560,%TEMP%\is-236JN.tmp\bogard.exe" /VERYSILENT /SUBID=bogard2
- '%TEMP%\is-t1nqk.tmp\editbin.exe' SET_SUBID "bogard2" "%TEMP%\is-T1NQK.tmp\Utils.dll"
- '%ProgramFiles%\bogard\installutil.exe' Bogard.exe
- '%ProgramFiles%\bogard\installutil.exe' Bogard_updater_service.exe
- '%ProgramFiles%\bogard\installationstatsuploder.exe' i
- '%TEMP%\is-236jn.tmp\bogard.exe' /VERYSILENT /SUBID=bogard2' (со скрытым окном)
- '%TEMP%\is-t1nqk.tmp\editbin.exe' SET_SUBID "bogard2" "%TEMP%\is-T1NQK.tmp\Utils.dll"' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' create WinDivert64 type= kernel start= auto error= normal binPath= <DRIVERS>\WinDivert64.sys' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' start WinDivert64' (со скрытым окном)
- '%ProgramFiles%\bogard\installutil.exe' Bogard.exe' (со скрытым окном)
- '%ProgramFiles%\bogard\installutil.exe' Bogard_updater_service.exe' (со скрытым окном)
- '%ProgramFiles%\bogard\installationstatsuploder.exe' i' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\sc.exe' create WinDivert64 type= kernel start= auto error= normal binPath= <DRIVERS>\WinDivert64.sys
- '%WINDIR%\syswow64\sc.exe' start WinDivert64
