Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\firefox default browser agent bf599a84ee7c9e94
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsq6fc3.tmp
- %TEMP%\sqlite.dat
- %TEMP%\sqlite.dll
- %TEMP%\lzmwaqmv.exe
- %HOMEPATH%\documents\dh3cyw5lop_s5wm5eroopemf.dll
- %HOMEPATH%\documents\fgrk4me1kwu4zo9kqxyl7g4m.exe
- %HOMEPATH%\documents\zhau5nakvgxyqyox5i7gwpot.exe
- %HOMEPATH%\documents\g00ejab57vprc_u5oijqtzns.exe
- %HOMEPATH%\documents\boyok5fih8ybmm69ehtsbnrd.exe
- %HOMEPATH%\documents\xhiogsabbe8twojvus8c4b03.exe
- %TEMP%\7zsc4b03faf\libgcc_s_dw2-1.dll
- %HOMEPATH%\documents\bbhpzsr7jdxof11h3tayydgq.exe
- %HOMEPATH%\documents\uxq6kvxmiwfjtgbeqlkulzg1.exe
- %HOMEPATH%\documents\udqyr6sjwnznf7c0qorvknf0.exe
- %TEMP%\chrome 5.exe
- %HOMEPATH%\documents\on7jhdprajqhxmosh2fw3ljy.exe
- %APPDATA%\jvsvvvj
- %HOMEPATH%\documents\sjvs1tistodfsow1uaiwg8i0.exe
- %HOMEPATH%\documents\tjidyqrnptqfiffkqcqsu2yz.exe
- %HOMEPATH%\documents\8jb1icz259km7svkml7ohmuu.exe
- %HOMEPATH%\documents\uaw3_98iehqdd5t6_mxitfge.exe
- %TEMP%\is-5on55.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-5on55.tmp\idp.dll
- %TEMP%\is-5on55.tmp\_isetup\_setup64.tmp
- %TEMP%\is-nsoos.tmp\sun233417360a.tmp
- %TEMP%\7zsc4b03faf\sun23efa36387f0.exe
- %TEMP%\7zs451982af\libgcc_s_dw2-1.dll
- %TEMP%\7zs451982af\libstdc++-6.dll
- %TEMP%\7zs451982af\libwinpthread-1.dll
- %TEMP%\7zs451982af\libzip.dll
- %TEMP%\7zs451982af\setup_install.exe
- %TEMP%\7zs451982af\zlib1.dll
- %TEMP%\7zs451982af\8c5815b57f.zip
- %TEMP%\9b087e366fe561.exe
- %TEMP%\7zsc4b03faf\libcurl.dll
- %HOMEPATH%\documents\91xzvzl5fxzwg5bspcq4xegv.exe
- %HOMEPATH%\documents\vzaifhhx436ppcrg0umpca8m.exe
- %TEMP%\7zsc4b03faf\libcurlpp.dll
- %TEMP%\7zsc4b03faf\libwinpthread-1.dll
- %TEMP%\7zsc4b03faf\setup_install.exe
- %TEMP%\7zsc4b03faf\sun23309eda7d63ab.exe
- %TEMP%\7zsc4b03faf\sun233417360a.exe
- %TEMP%\7zsc4b03faf\sun2352619157fbf8f8.exe
- %TEMP%\7zsc4b03faf\sun2376f81b8330.exe
- %TEMP%\7zsc4b03faf\sun237fedff1799a.exe
- %TEMP%\7zsc4b03faf\sun23999661e44.exe
- %TEMP%\7zsc4b03faf\sun23ee708f142bd3.exe
- %TEMP%\setup.exe
- %TEMP%\7zsc4b03faf\libstdc++-6.dll
- %HOMEPATH%\documents\lnkreqvcif90kz4ls3qcmz01.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\jvsvvvj
Удаляет следующие файлы
- %TEMP%\7zs451982af\8c5815b57f.zip
- %TEMP%\is-nsoos.tmp\sun233417360a.tmp
- %TEMP%\is-5on55.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-5on55.tmp\_isetup\_setup64.tmp
- %TEMP%\is-5on55.tmp\idp.dll
- %TEMP%\7zsc4b03faf\sun23309eda7d63ab.exe
- %TEMP%\7zsc4b03faf\setup_install.exe
- %TEMP%\7zsc4b03faf\libwinpthread-1.dll
- %TEMP%\7zsc4b03faf\libstdc++-6.dll
- %TEMP%\7zsc4b03faf\libgcc_s_dw2-1.dll
- %TEMP%\7zsc4b03faf\libcurlpp.dll
- %TEMP%\7zsc4b03faf\libcurl.dll
- %TEMP%\7zs451982af\zlib1.dll
- %TEMP%\7zs451982af\setup_install.exe
- %TEMP%\7zs451982af\libzip.dll
- %TEMP%\7zs451982af\libwinpthread-1.dll
- %TEMP%\7zs451982af\libstdc++-6.dll
- %TEMP%\7zs451982af\libgcc_s_dw2-1.dll
- %HOMEPATH%\documents\dh3cyw5lop_s5wm5eroopemf.dll
- %TEMP%\7zsc4b03faf\sun237fedff1799a.exe
Сетевая активность
Подключается к
- 'localhost':49176
- 'te###ram.org':443
- 'pr######oolz123foryou.club':80
- 'i.###sgrt.com':80
- 'ma#####youdrivers.ru':80
- 'ip##fo.io':443
- 'st#####mg.youtuuee.com':80
- 'ip##pi.com':80
- 'cd#.##scordapp.com':443
- 'ed#####ma.tumblr.com':443
- 'cd#.##scordapp.com':80
- '45.##4.225.236':80
- '37.#.10.214':80
- 'a.###tgame.co':443
- 'so##x.xyz':80
- 'localhost':49178
- 'cl#####-partners.biz':80
- 'tw##ter.com':443
TCP
Запросы HTTP GET
- http://so##x.xyz/addInstall.php?ke#####################################################################################################################################################
- http://37.#.10.214/proxies.txt
- http://ip##pi.com/json/
- http://45.##4.225.236/base/api/statistics.php
- http://st#####mg.youtuuee.com/api/fbtime
- http://37.#.10.214/WW/fileT2.exe
- http://37.#.10.214/EU/chrome.exe
- http://i.###sgrt.com/lqosko/p18j/cutm3.exe
- http://ma#####youdrivers.ru/manageryoudrivers.exe
- http://pr######oolz123foryou.club/downloads/toolspab2.exe
- http://cl#####-partners.biz/check.php?pu#########
Другие
- 'localhost':49176
- 'localhost':49178
- 'localhost':49179
- 'a.###tgame.co':443
- 'cd#.##scordapp.com':80
- 'cd#.##scordapp.com':443
- 'ed#####ma.tumblr.com':443
- 'ip##fo.io':443
- 'te###ram.org':443
UDP
- DNS ASK so##x.xyz
- DNS ASK te###ram.org
- DNS ASK cl#####-partners.biz
- DNS ASK ma#####youdrivers.ru
- DNS ASK pr######oolz123foryou.club
- DNS ASK i.###sgrt.com
- DNS ASK re###epc3.xyz
- DNS ASK re####network.xyz
- DNS ASK yi#.su
- DNS ASK ip##fo.io
- DNS ASK st#####mg.youtuuee.com
- DNS ASK ip##pi.com
- DNS ASK ed#####ma.tumblr.com
- DNS ASK cd#.##scordapp.com
- DNS ASK be####ink-app.com
- DNS ASK th####ash-man.com
- DNS ASK a.###tgame.co
- DNS ASK th######esportsgroup.net
- DNS ASK tw##ter.com
Другое
Ищет следующие окна
- ClassName: 'ConsoleWindowClass' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\setup.exe'
- '%HOMEPATH%\documents\zhau5nakvgxyqyox5i7gwpot.exe'
- '%HOMEPATH%\documents\bbhpzsr7jdxof11h3tayydgq.exe'
- '%HOMEPATH%\documents\xhiogsabbe8twojvus8c4b03.exe'
- '%HOMEPATH%\documents\uxq6kvxmiwfjtgbeqlkulzg1.exe'
- '%HOMEPATH%\documents\udqyr6sjwnznf7c0qorvknf0.exe'
- '%HOMEPATH%\documents\on7jhdprajqhxmosh2fw3ljy.exe'
- '%HOMEPATH%\documents\sjvs1tistodfsow1uaiwg8i0.exe'
- '%TEMP%\chrome 5.exe'
- '%HOMEPATH%\documents\8jb1icz259km7svkml7ohmuu.exe'
- '%HOMEPATH%\documents\91xzvzl5fxzwg5bspcq4xegv.exe'
- '%HOMEPATH%\documents\lnkreqvcif90kz4ls3qcmz01.exe'
- '%HOMEPATH%\documents\g00ejab57vprc_u5oijqtzns.exe'
- '%HOMEPATH%\documents\boyok5fih8ybmm69ehtsbnrd.exe'
- '%HOMEPATH%\documents\tjidyqrnptqfiffkqcqsu2yz.exe'
- '%TEMP%\7zsc4b03faf\sun23309eda7d63ab.exe'
- '%TEMP%\7zsc4b03faf\sun23ee708f142bd3.exe'
- '%TEMP%\lzmwaqmv.exe'
- '%TEMP%\is-nsoos.tmp\sun233417360a.tmp' /SL5="$C0026,506086,422400,%TEMP%\7zSC4B03FAF\Sun233417360a.exe"
- '%TEMP%\7zs451982af\setup_install.exe'
- '%TEMP%\9b087e366fe561.exe'
- '%TEMP%\7zsc4b03faf\sun237fedff1799a.exe'
- '%TEMP%\7zsc4b03faf\sun2376f81b8330.exe'
- '%TEMP%\7zsc4b03faf\setup_install.exe'
- '%TEMP%\7zsc4b03faf\sun23999661e44.exe'
- '%TEMP%\7zsc4b03faf\sun233417360a.exe'
- '%HOMEPATH%\documents\fgrk4me1kwu4zo9kqxyl7g4m.exe'
- '%TEMP%\7zsc4b03faf\sun2352619157fbf8f8.exe'
- '%TEMP%\7zsc4b03faf\sun23efa36387f0.exe'
- '%HOMEPATH%\documents\udqyr6sjwnznf7c0qorvknf0.exe' ' (со скрытым окном)
- '%HOMEPATH%\documents\tjidyqrnptqfiffkqcqsu2yz.exe' ' (со скрытым окном)
- '%HOMEPATH%\documents\lnkreqvcif90kz4ls3qcmz01.exe' ' (со скрытым окном)
- '%HOMEPATH%\documents\8jb1icz259km7svkml7ohmuu.exe' ' (со скрытым окном)
- '%HOMEPATH%\documents\fgrk4me1kwu4zo9kqxyl7g4m.exe' ' (со скрытым окном)
- '%HOMEPATH%\documents\sjvs1tistodfsow1uaiwg8i0.exe' ' (со скрытым окном)
- '%HOMEPATH%\documents\91xzvzl5fxzwg5bspcq4xegv.exe' ' (со скрытым окном)
- '%HOMEPATH%\documents\xhiogsabbe8twojvus8c4b03.exe' ' (со скрытым окном)
- '%HOMEPATH%\documents\boyok5fih8ybmm69ehtsbnrd.exe' ' (со скрытым окном)
- '%HOMEPATH%\documents\g00ejab57vprc_u5oijqtzns.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im "XhiogSaBBE8twoJvuS8C4b03.exe" /f & erase "%HOMEPATH%\Documents\XhiogSaBBE8twoJvuS8C4b03.exe" & exit' (со скрытым окном)
- '%HOMEPATH%\documents\bbhpzsr7jdxof11h3tayydgq.exe' ' (со скрытым окном)
- '%HOMEPATH%\documents\zhau5nakvgxyqyox5i7gwpot.exe' ' (со скрытым окном)
- '%HOMEPATH%\documents\on7jhdprajqhxmosh2fw3ljy.exe' ' (со скрытым окном)
- '%HOMEPATH%\documents\uxq6kvxmiwfjtgbeqlkulzg1.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\dllhost.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c %TEMP%\9b087e366fe561.exe
- '%WINDIR%\syswow64\cmd.exe' /c powershell -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath "%LOCALAPPDATA%\Temp"
- '%WINDIR%\syswow64\cmd.exe' /c Sun23efa36387f0.exe
- '%WINDIR%\syswow64\cmd.exe' /c Sun237fedff1799a.exe
- '%WINDIR%\syswow64\cmd.exe' /c Sun23ee708f142bd3.exe
- '%WINDIR%\syswow64\cmd.exe' /c Sun2352619157fbf8f8.exe
- '%WINDIR%\syswow64\cmd.exe' /c Sun233417360a.exe
- '%WINDIR%\syswow64\cmd.exe' /c Sun23999661e44.exe
- '%WINDIR%\syswow64\cmd.exe' /c Sun23309eda7d63ab.exe
- '%WINDIR%\syswow64\cmd.exe' /c Sun2376f81b8330.exe
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath "%LOCALAPPDATA%\Temp"
- '<SYSTEM32>\rundll32.exe' "%TEMP%\sqlite.dll",global
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im "XhiogSaBBE8twoJvuS8C4b03.exe" /f & erase "%HOMEPATH%\Documents\XhiogSaBBE8twoJvuS8C4b03.exe" & exit
- '%WINDIR%\syswow64\dllhost.exe'
