Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'Bench Communicator Watcher' = '%ProgramFiles(x86)%\Bench\Proxy\pwdg.exe'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'Bench Settings Cleaner' = '%ProgramFiles(x86)%\Bench\Proxy\cl.exe'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce] 'Browser Guardian' = ''
Создает или изменяет следующие файлы
- %WINDIR%\tasks\bench-sys.job
- <SYSTEM32>\tasks\bench-sys
- %WINDIR%\tasks\bench-s-1-5-21-1960123792-2022915161-3775307078-1001.job
- <SYSTEM32>\tasks\bench-s-1-5-21-1960123792-2022915161-3775307078-1001
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="proc.exe" protocol=TCP dir=in localport=3128 action=allow program="%ProgramFiles(x86)%\Bench\Proxy\proc.exe"
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="pwdg.exe" protocol=TCP dir=in localport=3128 action=allow program="%ProgramFiles(x86)%\Bench\Proxy\pwdg.exe"
Завершает или пытается завершить
следующие пользовательские процессы:
- iexplore.exe
- firefox.exe
Изменяет следующие настройки браузера Windows Internet Explorer
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = 'http=127.0.0.1:3128'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = 'http=127.0.0.1:3128'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsm9905.tmp
- %LOCALAPPDATA%\browser guardian\chrome_installer.js
- %LOCALAPPDATA%\browser guardian\ie_installer.js
- %LOCALAPPDATA%\browser guardian\clear_cache.js
- %TEMP%\nsb9915.tmp\nsprocess.dll
- %ProgramFiles(x86)%\bench\proxy\proc.exe
- %ProgramFiles(x86)%\bench\proxy\pwdg.exe
- %ProgramFiles(x86)%\bench\proxy\icon.ico
- %ProgramFiles(x86)%\bench\proxy\cl.exe
- %APPDATA%\microsoft\windows\start menu\programs\browser guardian\browser guardian settings.url
- %APPDATA%\microsoft\windows\start menu\programs\browser guardian\browser guardian.lnk
- %LOCALAPPDATA%\benchupdater\products.xml
- %LOCALAPPDATA%\proxy.log
- %LOCALAPPDATA%low\protect\canvasstorage\ee9adb2bad520b37c67f38edc62ec22d
- %LOCALAPPDATA%low\protect\canvasstorage\a645fa10d3b7c3be385a23d8e9796994
- %LOCALAPPDATA%low\protect\canvasstorage\c8ca0d6097bee7d978cc54b0e9075409
- %LOCALAPPDATA%low\protect\canvasstorage\8ab1244a97308124c8207af9517ce460
- %LOCALAPPDATA%low\protect\canvasstorage\7bf8e2b7288ee31947f028830fe682c3
- %LOCALAPPDATA%\browser guardian\firefox_installer.js
- %LOCALAPPDATA%low\protect\blocker\b24f88eb229178ba93accf228dc5b280
- %APPDATA%\microsoft\windows\start menu\programs\browser guardian\uninstall.lnk
- %ProgramFiles(x86)%\bench\updater\products.xml
- %TEMP%\nsb9915.tmp\ping.js
- %TEMP%\nsb9915.tmp\system.dll
- %TEMP%\nsb9915.tmp\md5dll.dll
- %TEMP%\nsb9915.tmp\nsexec.dll
- %LOCALAPPDATA%\browser guardian\softwaredetector.exe
- %LOCALAPPDATA%\browser guardian\projectinstaller.js
- %LOCALAPPDATA%\browser guardian\installer.js
- %LOCALAPPDATA%\browser guardian\common.js
- %LOCALAPPDATA%\browser guardian\icon.ico
- %LOCALAPPDATA%\browser guardian\main_installer.js
- %LOCALAPPDATA%\browser guardian\info.xml
- %LOCALAPPDATA%\browser guardian\migrate.js
- %LOCALAPPDATA%\browser guardian\repair.js
- %ProgramFiles(x86)%\bench\updater\updater.exe
- %ProgramFiles(x86)%\bench\updater\1.7.0.0\updater.exe
- %TEMP%\nsmb119.tmp
- %TEMP%\nsmb11a.tmp
- %LOCALAPPDATA%\browser guardian\uninstall.exe
- %LOCALAPPDATA%low\protect\blocker\8d3f613ded3421026a6b47abd4042139
Удаляет следующие файлы
- %TEMP%\nsmb11a.tmp
- %LOCALAPPDATA%\browser guardian\info.xml
- %TEMP%\nsb9915.tmp\md5dll.dll
- %TEMP%\nsb9915.tmp\nsexec.dll
- %TEMP%\nsb9915.tmp\nsprocess.dll
- %TEMP%\nsb9915.tmp\ping.js
- %TEMP%\nsb9915.tmp\system.dll
Сетевая активность
TCP
Запросы HTTP GET
- http://www.in####lping5.info/tbi-ping/0af8eb8e6f9835a09b24a4fc8298d2f0/69049eaaea3e98c5e6703d3d05cad1a1/xriderexe/622011/?pi##################################################
- http://br#######ardian-a.akamaihd.net/protect/rules.json
- http://co######ache-a.akamaihd.net/check
- http://www.in####lping5.info/id-check/0af8eb8e6f9835a09b24a4fc8298d2f0/
- http://www.in####lping5.info/newuser-ping/0af8eb8e6f9835a09b24a4fc8298d2f0/69049eaaea3e98c5e6703d3d05cad1a1/0/xriderexe/622011/0/?pi#############################################################...
UDP
- DNS ASK in####lping5.info
- DNS ASK br#######ardian-a.akamaihd.net
- DNS ASK co######ache-a.akamaihd.net
Другое
Изменяет значение AutoConfigURL на ''
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\bench\proxy\proc.exe'
- '%LOCALAPPDATA%\browser guardian\softwaredetector.exe'
- '%ProgramFiles(x86)%\bench\updater\1.7.0.0\updater.exe' -runmode=addsystask
- '%ProgramFiles(x86)%\bench\updater\updater.exe' -runmode=addtask
- '%ProgramFiles(x86)%\bench\proxy\pwdg.exe'
- '%ProgramFiles(x86)%\bench\updater\1.7.0.0\updater.exe' -runmode=addtask
- '%ProgramFiles(x86)%\bench\updater\1.7.0.0\updater.exe' -runmode=addproduct -info="%TEMP%\nsmB11A.tmp"
- '%ProgramFiles(x86)%\bench\updater\1.7.0.0\updater.exe' -runmode=addproduct -info="%LOCALAPPDATA%\Browser Guardian\info.xml"
- '%ProgramFiles(x86)%\bench\updater\updater.exe' -runmode=addproduct -info="%LOCALAPPDATA%\Browser Guardian\info.xml"
- '%ProgramFiles(x86)%\bench\updater\updater.exe' -runmode=addproduct -info="%TEMP%\nsmB11A.tmp"
- '%WINDIR%\syswow64\cscript.exe' //Nologo "migrate.js" /iversion=20140523 /programfiles="C:\Program Files (x86)" /localapps="%LOCALAPPDATA%" /product-name="Browser Guardian" /installation-time="1599323178" /pid="2032" /zone="...' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="pwdg.exe" protocol=TCP dir=in localport=3128 action=allow program="%ProgramFiles(x86)%\Bench\Proxy\pwdg.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cscript.exe' //Nologo "ping.js" "http://www.in####lping5.info/installer-run/0af8eb8e6f9835a09b24a4fc8298d2f0/69049eaaea3e98c5e6703d3d05cad1a1/xriderexe/622011/?pi############################################...' (со скрытым окном)
- '%WINDIR%\syswow64\cscript.exe' //Nologo "ping.js" "http://www.in####lping5.info/tbi-ping/0af8eb8e6f9835a09b24a4fc8298d2f0/69049eaaea3e98c5e6703d3d05cad1a1/xriderexe/622011/?pi#################################################...' (со скрытым окном)
- '%WINDIR%\syswow64\cscript.exe' //Nologo "main_installer.js" install /product-name="Browser Guardian" /installation-time="1599323178" /pid="2032" /zone="622011" /czoneid="12199" /nmhost-dir="%ProgramFiles(x86)%\Bench\NmHost"...' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="proc.exe" protocol=TCP dir=in localport=3128 action=allow program="%ProgramFiles(x86)%\Bench\Proxy\proc.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cscript.exe' //Nologo "clear_cache.js"' (со скрытым окном)
- '%WINDIR%\syswow64\cscript.exe' //Nologo "ping.js" "http://www.in####lping5.info/id-check/0af8eb8e6f9835a09b24a4fc8298d2f0/" "%TEMP%\nsb9915.tmp\get.dat" ""' (со скрытым окном)
- '%WINDIR%\syswow64\net.exe' start schedule' (со скрытым окном)
- '%WINDIR%\syswow64\cscript.exe' //Nologo "ping.js" "http://www.in####lping5.info/newuser-ping/0af8eb8e6f9835a09b24a4fc8298d2f0/69049eaaea3e98c5e6703d3d05cad1a1/0/xriderexe/622011/0/?pi#########################################...' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cscript.exe' //Nologo "ping.js" "http://www.in####lping5.info/installer-run/0af8eb8e6f9835a09b24a4fc8298d2f0/69049eaaea3e98c5e6703d3d05cad1a1/xriderexe/622011/?pi############################################...
- '%WINDIR%\syswow64\cscript.exe' //Nologo "migrate.js" /iversion=20140523 /programfiles="C:\Program Files (x86)" /localapps="%LOCALAPPDATA%" /product-name="Browser Guardian" /installation-time="1599323178" /pid="2032" /zone="...
- '%WINDIR%\syswow64\net.exe' start schedule
- '%WINDIR%\syswow64\net1.exe' start schedule
- '%WINDIR%\syswow64\cscript.exe' //Nologo "main_installer.js" install /product-name="Browser Guardian" /installation-time="1599323178" /pid="2032" /zone="622011" /czoneid="12199" /nmhost-dir="%ProgramFiles(x86)%\Bench\NmHost"...
- '%WINDIR%\syswow64\cscript.exe' //Nologo "clear_cache.js"
- '%WINDIR%\syswow64\cscript.exe' //Nologo "ping.js" "http://www.in####lping5.info/tbi-ping/0af8eb8e6f9835a09b24a4fc8298d2f0/69049eaaea3e98c5e6703d3d05cad1a1/xriderexe/622011/?pi#################################################...
- '%WINDIR%\syswow64\cscript.exe' //Nologo "ping.js" "http://www.in####lping5.info/id-check/0af8eb8e6f9835a09b24a4fc8298d2f0/" "%TEMP%\nsb9915.tmp\get.dat" ""
- '%WINDIR%\syswow64\cscript.exe' //Nologo "ping.js" "http://www.in####lping5.info/newuser-ping/0af8eb8e6f9835a09b24a4fc8298d2f0/69049eaaea3e98c5e6703d3d05cad1a1/0/xriderexe/622011/0/?pi#########################################...
