Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im chrome.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im opera.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsheec2.tmp\sibuia.dll
- %TEMP%\sibf059.tmp\sibca.dll
- %TEMP%\sibf059.tmp\sibclr.dll
- %TEMP%\sibf059.tmp\0\setup.exe
- %ProgramFiles(x86)%\ujvqkl7ofji6\aliens.exe
- %TEMP%\85f91a36e275562f.exe
- %ALLUSERSPROFILE%\sib\{f9266136-0000-46f8-bc66-fdd9185e4296}\sib.dat
- %ALLUSERSPROFILE%\sib\{f9266136-0000-46f8-bc66-fdd9185e4296}\sibclr.dll
- %ALLUSERSPROFILE%\sib\{f9266136-0000-46f8-bc66-fdd9185e4296}\sibca.dll
- %TEMP%\gdiview.msi
- %TEMP%\msi495e.tmp
- %LOCALAPPDATA%\cookies.sqlite1606605035270-shm
Удаляет следующие файлы
- %TEMP%\sibf059.tmp\0\setup.exe
- %TEMP%\sibf059.tmp\sibca.dll
- %TEMP%\sibf059.tmp\sibclr.dll
- %TEMP%\nsheec2.tmp\sibuia.dll
- %TEMP%\msi495e.tmp
- %ProgramFiles(x86)%\ujvqkl7ofji6\aliens.exe
- %LOCALAPPDATA%\cookies.sqlite1606605035270-shm
Сетевая активность
Подключается к
- '75#####bd6a4211b.xyz':80
TCP
Запросы HTTP POST
- http://75#####bd6a4211b.xyz/info/w
UDP
- DNS ASK 75#####bd6a4211b.xyz
Другое
Добавляет корневой сертификат
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\sibf059.tmp\0\setup.exe' -s
- '%ProgramFiles(x86)%\ujvqkl7ofji6\aliens.exe'
- '%TEMP%\85f91a36e275562f.exe' 0011 installp1
- '%TEMP%\85f91a36e275562f.exe' 200 installp1
- '%WINDIR%\syswow64\msiexec.exe' /i "%TEMP%\gdiview.msi"' (со скрытым окном)
- '%TEMP%\85f91a36e275562f.exe' 0011 installp1' (со скрытым окном)
- '%TEMP%\85f91a36e275562f.exe' 200 installp1' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 -n 3 & del "%ProgramFiles(x86)%\ujvqkl7ofji6\aliens.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im chrome.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im opera.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 -n 3 & del "%TEMP%\85F91A36E275562F.exe"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\msiexec.exe' /i "%TEMP%\gdiview.msi"
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 -n 3 & del "%ProgramFiles(x86)%\ujvqkl7ofji6\aliens.exe"
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im chrome.exe
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im opera.exe
- '%ProgramFiles(x86)%\mozilla firefox\firefox.exe'
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 -n 3 & del "%TEMP%\85F91A36E275562F.exe"
