Trojan.InstallMonster.2273

Техническая информация

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

следующие пользовательские процессы:

firefox.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\etilqs_ccz0exy0cd2dkcs
%TEMP%\etilqs_gxulqc0py5nsaxo
%TEMP%\etilqs_dn3p87eejkhcsui

Подменяет следующие файлы

%ProgramFiles%\UNP\Logs\UpdateNotificationPipeline.001.etl

Сетевая активность

TCP

Запросы HTTP GET

http://di#####inate.blockey.ru/0wQBkwDb51EWJRSaxwUeEBGXFBVWBwENIkTOAFSUwFTG5ASKNUDIAAG0gyRcZUXbhFWXowGH4zCAkiNVp1XSNlEDAxGJsgAVwDCPgANocEXSJwBWIBXL1zAP4wSqAVRCpFWBRRCMlEXa1lAGoFCG1lEUFUXblAAC9F...
http://tx##rt.ru/06-18/js/vnd/plugins.js
http://tx##rt.ru/06-18/js/vnd/bootstrap.min.js
http://tx##rt.ru/06-18/js/langVars.js
http://tx##rt.ru/06-18/js/vnd/jquery.min.js
http://tx##rt.ru/06-18/css/vnd/responsive.css
http://tx##rt.ru/06-18/css/general.css?3
http://tx##rt.ru/06-18/js/vnd/jquery.validate.min.js
http://tx##rt.ru/06-18/css/widgets.css?6
http://tx##rt.ru/06-18/css/pnotify.css?2
http://tx##rt.ru/06-18/js/vnd/modernizr-2.6.2.min.js
http://tx##rt.ru/06-18/css/feedback-form.css?1
http://tx##rt.ru/06-18/css/vnd/bootstrap.min.css
http://fo###.gstatic.com/s/opensans/v18/mem5YaGs126MiZpBA-UN7rgOVuhpOqc.woff2
http://tx##rt.ru/
http://tx##rt.ru/06-18/css/feedback-form.css?4
http://tx##rt.ru/06-18/js/vnd/additional-methods.min.js
http://tx##rt.ru/06-18/js/feedbackForm.js?3
http://tx##rt.ru/06-18/js/numInputValidate.js
http://tx##rt.ru/06-18/css/img/soc/Layer%2024.png
http://tx##rt.ru/06-18/css/img/soc/bg%20copy.png
http://tx##rt.ru/06-18/css/img/cd-icon-close.svg
http://tx##rt.ru/06-18/css/img/cd-icon-message.svg
http://tx##rt.ru/06-18/css/img/cd-icon-email.svg
http://tx##rt.ru/06-18/css/img/cd-icon-phone.svg
http://tx##rt.ru/06-18/css/img/cd-icon-user.svg
http://tx##rt.ru/06-18/js/callback/user.php?ke##################################
http://pa#####.#ooglesyndication.com/pagead/js/adsbygoogle.js
http://tx##rt.ru/06-18/css/img/wg/00/04/4361/orl_20-03-11-165721-8707.png
http://tx##rt.ru/06-18/css/img/wg/00/06/6855/orl_20-09-18-174704_1-12165.png
http://tx##rt.ru/06-18/css/img/wg/00/04/4463/orl_20-03-17-082542-8835.png
http://tx##rt.ru/06-18/js/callback/check.php?
http://tx##rt.ru/06-18/js/statistics.js?4
http://tx##rt.ru/06-18/js/pnotify.js
http://fo###.gstatic.com/s/opensans/v18/mem5YaGs126MiZpBA-UN7rgOUuhp.woff2
http://tx##rt.ru/06-18/css/img/soc/main.png
http://fo###.gstatic.com/s/opensans/v18/mem5YaGs126MiZpBA-UN8rsOVuhpOqc.woff2
http://fo###.gstatic.com/s/opensans/v18/mem8YaGs126MiZpBA-UFUZ0bbck.woff2
http://bl##key.ru/06-18/js/vnd/jquery.min.js
http://bl##key.ru/06-18/js/vnd/modernizr-2.6.2.min.js
http://bl##key.ru/06-18/css/vnd/responsive.css
http://bl##key.ru/06-18/css/general.css?3
http://bl##key.ru/06-18/css/iframe.css?73
http://bl##key.ru/06-18/css/feedback-form.css?4
http://bl##key.ru/06-18/js/langVars.js
http://fo###.#oogleapis.com/css?fa####################################################################################
http://bl##key.ru/06-18/css/pnotify.css?2
http://bl##key.ru/
http://di#####inate.blockey.ru/
http://di#####inate.blockey.ru/favicon.ico
http://di#####inate.blockey.ru/js/check.php?ur##
http://di#####inate.blockey.ru/Exceptions?bu#############################
http://bl##key.ru/06-18/css/vnd/bootstrap.min.css
http://bl##key.ru/06-18/js/vnd/bootstrap.min.js
http://bl##key.ru/06-18/js/vnd/plugins.js
http://bl##key.ru/06-18/js/vnd/jquery.validate.min.js
http://fo###.gstatic.com/s/opensans/v18/mem8YaGs126MiZpBA-UFVZ0b.woff2
http://bl##key.ru/06-18/css/img/background/bg56.png
http://bl##key.ru/06-18/css/img/cd-icon-close.svg
http://bl##key.ru/06-18/css/img/cd-icon-message.svg
http://bl##key.ru/06-18/css/img/cd-icon-email.svg
http://bl##key.ru/06-18/css/img/cd-icon-phone.svg
http://bl##key.ru/06-18/css/img/cd-icon-user.svg
http://bl##key.ru/06-18/js/callback/user.php?ke##################################
http://bl##key.ru/06-18/favicons/favicon.png
http://bl##key.ru/06-18/js/callback/check.php?
http://bl##key.ru/06-18/js/statistics.js?4
http://bl##key.ru/06-18/js/pnotify.js
http://bl##key.ru/06-18/js/numInputValidate.js
http://bl##key.ru/06-18/js/feedbackForm.js?3
http://bl##key.ru/06-18/js/vnd/additional-methods.min.js
http://fo###.gstatic.com/s/opensans/v18/mem5YaGs126MiZpBA-UN8rsOUuhp.woff2
http://tx##rt.ru/06-18/css/img/soc/tel.png

'go#####agmanager.com':443

'mc.yandex.ru':443

'go#####analytics.com':443

'fo###.#oogleapis.com':443

'fo###.gstatic.com':443

'pa#####.#ooglesyndication.com':443

'go######s.g.doubleclick.net':443

'pa#####.#oogleadservices.com':443

'ad####ice.google.nl':443

'adservice.google.com':443

'pa######d.l.doubleclick.net':443

'tp#.####lesyndication.com':443

UDP

DNS ASK di#####inate.blockey.ru
DNS ASK adservice.google.com
DNS ASK pa######d.l.doubleclick.net
DNS ASK ad####ice.google.nl
DNS ASK pa#####.#oogleadservices.com
DNS ASK go######s.g.doubleclick.net
DNS ASK pa######.l.doubleclick.net
DNS ASK pa#####.#ooglesyndication.com
DNS ASK www-google-analytics.l.google.com
DNS ASK go#####analytics.com
DNS ASK gstaticadssl.l.google.com
DNS ASK fo###.gstatic.com
DNS ASK go#####agservices.com
DNS ASK mc.yandex.ru
DNS ASK www-googletagmanager.l.google.com
DNS ASK go#####agmanager.com
DNS ASK fo###.#oogleapis.com
DNS ASK bl##key.ru
DNS ASK ar#.msn.com
DNS ASK dl.delivery.mp.microsoft.com
DNS ASK maps.windows.com
DNS ASK settings-win.data.microsoft.com
DNS ASK go.microsoft.com
DNS ASK share.microsoft.com
DNS ASK ec############-48.eu-west-1.compute.amazonaws.com
DNS ASK tx##rt.ru
DNS ASK tp#.####lesyndication.com

Другое

Запускает на исполнение

'<SYSTEM32>\devicecensus.exe' UserCxt
'%ProgramFiles%\mozilla firefox\firefox.exe' -osint -url "http://di#####inate.blockey.ru/Exceptions?bu#############################"
'<SYSTEM32>\svchost.exe' -k netsvcs -p