Техническая информация
Вредоносные функции
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\google\chrome\application\chrome.exe' --type=gpu-process --channel="1288.0.1803486885\1649538165" --supports-dual-gpus=false --gpu-driver-bug-workarounds=1,19,42 --gpu-vendor-id=0x0000 --gpu-device-id=0x0000 --gpu-driver-vendor --g...
- '%ProgramFiles(x86)%\google\chrome\application\chrome.exe' --type=renderer --enable-deferred-image-decoding --lang=ru --force-fieldtrials="BackgroundRendererProcesses/Disallow/BrowserBlacklist/Enabled/*CTRequiredForEVTrial/RequirementEnforced/CaptivePo...
- '%ProgramFiles(x86)%\google\chrome\application\chrome.exe' --type=renderer --enable-deferred-image-decoding --lang=ru --force-fieldtrials="BackgroundRendererProcesses/Disallow/*BrowserBlacklist/Enabled/*CTRequiredForEVTrial/RequirementEnforced/CaptiveP...
Внедряет код в
следующие пользовательские процессы:
- chrome.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\81ef.tmp
- %TEMP%\scoped_dir_1288_21270\decoded_images
- %TEMP%\scoped_dir_1288_21270\crx_install\_metadata\verified_contents.json
- %TEMP%\scoped_dir_1288_21270\crx_install\audio\chime.wav
- %TEMP%\scoped_dir_1288_21270\crx_install\_platform_specific\x86-64_ru\hotword-x86-64.nexe
- %TEMP%\scoped_dir_1288_21270\crx_install\_platform_specific\x86-64_ru\hotword.data
- %TEMP%\scoped_dir_1288_21270\crx_install\hotword_ru.nmf
- %TEMP%\scoped_dir_1288_21270\crx_install\hotword_pt-br.nmf
- %TEMP%\scoped_dir_1288_21270\crx_install\hotword_.nmf
- %TEMP%\scoped_dir_1288_21270\crx_install\hotword_ko.nmf
- %TEMP%\scoped_dir_1288_21270\crx_install\hotword_ja.nmf
- %TEMP%\scoped_dir_1288_21270\crx_install\hotword_it.nmf
- %TEMP%\scoped_dir_1288_21270\crx_install\hotword_fr.nmf
- %TEMP%\scoped_dir_1288_21270\crx_install\hotword_es.nmf
- %TEMP%\scoped_dir_1288_21270\crx_install\hotword_en-gb.nmf
- %TEMP%\scoped_dir_1288_21270\crx_install\hotword_en-au.nmf
- %TEMP%\scoped_dir_1288_21270\crx_install\hotword_de.nmf
- %TEMP%\scoped_dir_1288_21270\crx_install\manifest.json
- %TEMP%\scoped_dir_1288_21270\81ef.tmp
- %TEMP%\8673.tmp
- %TEMP%\scoped_dir_1288_21270\decoded_message_catalogs
- %TEMP%\etilqs_ocu94k8dtjdien7
Удаляет следующие файлы
- %TEMP%\8673.tmp
- %TEMP%\scoped_dir_1288_21270\81ef.tmp
- %TEMP%\scoped_dir_1288_21270\decoded_images
- %TEMP%\scoped_dir_1288_21270\decoded_message_catalogs
- %TEMP%\81ef.tmp
Сетевая активность
Подключается к
- 'clients4.google.com':443
- 'tp#.####lesyndication.com':443
- 'cm.#.##ubleclick.net':443
- 'ds######.casalemedia.com':443
- 'go#######4.g.doubleclick.net':443
- 's0.#mdn.net':443
- 'ib.##nxs.com':443
- 'us##.openx.net':443
- 'sy##.teads.tv':443
- 'e.###.addthis.com':443
- 'd.##kn.com':443
- 'id.##cdn.com':443
- 'z.###tads.com':443
- 'rt#.#penx.net':443
- 'pi###.##biconproject.com':443
- 'ss######.casalemedia.com':443
- 'cm#.##antserve.com':443
- 'pi###.#veresttech.net':443
- 'microsoft.com':80
- 'im####.pubmatic.com':443
- 'go#####agservices.com':443
- 'op#.###ectiveportal.com':443
- 'adservice.google.com':443
- 'pa#####.#oogleadservices.com':443
- 'clients2.google.com':443
- 'hi.ru':80
- 'tr######e.googleapis.com':443
- 'gs##tic.com':80
- 'clients3.google.com':443
- 'ed###l.gvt1.com':80
- 'hi.ru':443
- 'st####.criteo.net':443
- 'pa#####.#ooglesyndication.com':443
- 'ph####hosting.ru':80
- 'fo###.gstatic.com':443
- 'co####r.yadro.ru':443
- 'go######s.g.doubleclick.net':443
- 'ph####hosting.ru':443
- 'mc.yandex.ru':443
- 'tn###ounter.ru':443
- 'gu#.#riteo.com':443
- 'sb.#####cardresearch.com':443
- 'se####.cpmstar.com':443
- 'ad####ice.google.nl':443
- 'x.##2.us':80
TCP
Запросы HTTP GET
- http://hi.ru/images/green.png
- http://ph####hosting.ru/161641860528464.jpg
- http://ph####hosting.ru/161641860589965.jpg
- http://ph####hosting.ru/161641860545978.jpg
- http://ph####hosting.ru/161641860514163.jpg
- http://ph####hosting.ru/161641860587069.jpg
- http://ph####hosting.ru/161641860539806.jpg
- http://ph####hosting.ru/161641860240875.jpg
- http://ph####hosting.ru/161641860458676.jpg
- http://ph####hosting.ru/161641860419593.jpg
- http://ph####hosting.ru/161641860479307.jpg
- http://ph####hosting.ru/161641860323394.jpg
- http://ph####hosting.ru/161641860565422.jpg
- http://ph####hosting.ru/161641860536998.jpg
- http://ph####hosting.ru/161641860360882.jpg
- http://ph####hosting.ru/161641860362838.jpg
- http://ph####hosting.ru/161641860315268.jpg
- http://ph####hosting.ru/161641860355105.jpg
- http://ph####hosting.ru/161641860127400.jpg
- http://ph####hosting.ru/161641860182445.jpg
- http://ph####hosting.ru/161641860379774.jpg
- http://ph####hosting.ru/161641860362373.jpg
- http://ph####hosting.ru/161641860312002.jpg
- http://ph####hosting.ru/161641860360804.jpg
- http://ph####hosting.ru/161641860240277.jpg
- http://ph####hosting.ru/161641860261495.jpg
- http://ph####hosting.ru/161641860250078.jpg
- http://ph####hosting.ru/161641860297016.jpg
- http://ph####hosting.ru/161641860295100.jpg
- http://ph####hosting.ru/161641860226581.jpg
- http://ph####hosting.ru/161641860565799.jpg
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
UDP
- DNS ASK clients2.google.com
- DNS ASK go#####agservices.com
- DNS ASK tp#.####lesyndication.com
- DNS ASK s0.#mdn.net
- DNS ASK cm.#.##ubleclick.net
- DNS ASK ds######.casalemedia.com
- DNS ASK go#######4.g.doubleclick.net
- DNS ASK ib.##nxs.com
- DNS ASK us##.openx.net
- DNS ASK sy##.teads.tv
- DNS ASK id.##cdn.com
- DNS ASK op#.###ectiveportal.com
- DNS ASK e.###.addthis.com
- DNS ASK z.###tads.com
- DNS ASK rt#.#penx.net
- DNS ASK pi###.##biconproject.com
- DNS ASK ss######.casalemedia.com
- DNS ASK cm#.##antserve.com
- DNS ASK pi###.#veresttech.net
- DNS ASK microsoft.com
- DNS ASK im####.pubmatic.com
- DNS ASK adservice.google.com
- DNS ASK d.##kn.com
- DNS ASK ad####ice.google.nl
- DNS ASK fo###.#oogleapis.com
- DNS ASK clients4.google.com
- DNS ASK google.com
- DNS ASK go##le.ru
- DNS ASK go###eapis.com
- DNS ASK hi.ru
- DNS ASK tr######e.googleapis.com
- DNS ASK gs##tic.com
- DNS ASK clients3.google.com
- DNS ASK ed###l.gvt1.com
- DNS ASK st####.criteo.net
- DNS ASK sb.#####cardresearch.com
- DNS ASK pa#####.#ooglesyndication.com
- DNS ASK ph####hosting.ru
- DNS ASK fo###.gstatic.com
- DNS ASK co####r.yadro.ru
- DNS ASK go######s.g.doubleclick.net
- DNS ASK mc.yandex.ru
- DNS ASK tn###ounter.ru
- DNS ASK gu#.#riteo.com
- DNS ASK se####.cpmstar.com
- DNS ASK pa#####.#oogleadservices.com
- DNS ASK x.##2.us
Другое
Ищет следующие окна
- ClassName: 'Chrome_MessageWindow' WindowName: '%LOCALAPPDATA%\Google\Chrome\User Data'
