Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\content\1532-2540-wscript.exe-23-37-48-697.dump
- %TEMP%\content\1532-2540-wscript.exe-23-37-51-297.dump
- %TEMP%\content\1532-2540-wscript.exe-23-37-51-507.dump
- %TEMP%\etilqs_bvphncxsxr5cqo9
- %TEMP%\etilqs_i4bhqvjrr6fvgqz
- %TEMP%\nspd60e.tmp\system.dll
- %TEMP%\nspd60e.tmp\cityhash.dll
- %TEMP%\nspd60e.tmp\shelllink.dll
- %TEMP%\tmpaddon
Подменяет следующие файлы
- %ProgramFiles%\UNP\Logs\UpdateNotificationPipeline.001.etl
Сетевая активность
TCP
Запросы HTTP GET
- http://www.go####.###.####48417409260.window-updates-service.com/
- http://www.go####.###.####48417409260.window-updates-service.com/wp-content/cache/autoptimize/js/autoptimize_eaa24614893be1323f03a8e1c58ec0b5.js
- http://www.go####.###.####48417409260.window-updates-service.com/wp-content/uploads/2017/07/fixsetuperrors.jpeg
- http://www.go####.###.####48417409260.window-updates-service.com/wp-content/plugins/wp-content-copy-protector/images/warning.png
- http://www.go####.###.####48417409260.window-updates-service.com/page/2/
Запросы HTTP POST
- http://oc##.#igicert.com/
- http://oc##.pki.goog/gts1o1core
UDP
- DNS ASK go####.###.####48417409260.window-updates-service.com
- DNS ASK ci######ary.openh264.org
- DNS ASK e4###.#.akamaiedge.net
- DNS ASK cdmdownload.adobe.com
- DNS ASK pr##.######.prod.cloudops.mozgcp.net
- DNS ASK ar#.msn.com
- DNS ASK dl.delivery.mp.microsoft.com
- DNS ASK settings-win.data.microsoft.com
- DNS ASK maps.windows.com
- DNS ASK go.microsoft.com
- DNS ASK www-google-analytics.l.google.com
- DNS ASK go#####analytics.com
- DNS ASK d1#######clnv6.cloudfront.net
- DNS ASK tr########rotection.cdn.mozilla.net
- DNS ASK se#########.r53-2.services.mozilla.com
- DNS ASK pki-goog.l.google.com
- DNS ASK www-googletagmanager.l.google.com
- DNS ASK go#####agmanager.com
- DNS ASK share.microsoft.com
- DNS ASK sh####.prod.mozaws.net
- DNS ASK sh####.#ervices.mozilla.com
- DNS ASK se####.###-2.services.mozilla.com
- DNS ASK se####.#ervices.mozilla.com
- DNS ASK cs#.##c.phicdn.net
- DNS ASK wi######pdates-service.com
- DNS ASK lo#########b-us-west-2.prod.mozaws.net
- DNS ASK lo######.services.mozilla.com
- DNS ASK ti###.##rvices.mozilla.com
- DNS ASK a1#.###g10.akamai.net
- DNS ASK im##########-rt-microsoft-com.akamaized.net
Другое
Ищет следующие окна
- ClassName: 'OleMainThreadWndClass' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\ping.exe' -n 1 -w 300 www.go####.###.####48417409260.window-updates-service.com' (со скрытым окном)
- '%ProgramFiles%\mozilla firefox\firefox.exe' -no-remote -CreateProfile user' (со скрытым окном)
- '%ProgramFiles%\mozilla firefox\firefox.exe' -no-remote -headless -new-instance -P "user" --start-debugger-server ws:6000 http://www.go####.###.####48417409260.window-updates-service.com' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\ping.exe' -n 1 -w 300 www.go####.###.####48417409260.window-updates-service.com
- '%ProgramFiles%\mozilla firefox\firefox.exe' -no-remote -CreateProfile user
- '%ProgramFiles%\mozilla firefox\firefox.exe' -no-remote -headless -new-instance -P "user" --start-debugger-server ws:6000 http://www.go####.###.####48417409260.window-updates-service.com
- '%ProgramFiles%\mozilla firefox\uninstall\helper.exe' /UpdateShortcutAppUserModelIds
- '<SYSTEM32>\devicecensus.exe' UserCxt
- '<SYSTEM32>\svchost.exe' -k netsvcs -p
