Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\8f85a1283bb5f66f52b3b25637da49d6] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\8f85a1283bb5f66f52b3b25637da49d6] 'ImagePath' = 'rundll32.exe "%ProgramFiles(x86)%\Wimsys\chrome_manager_x64.dll" main'
- [HKLM\System\CurrentControlSet\Services\8c406d82f16b0b72e37388cd3c1c2192] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\8c406d82f16b0b72e37388cd3c1c2192] 'ImagePath' = 'rundll32.exe "%ProgramFiles(x86)%\Wimsys\chrome_manager.dll" main'
- [HKLM\System\CurrentControlSet\Services\d0d7ceff28b9ae632cebebbf14a73f25] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\d0d7ceff28b9ae632cebebbf14a73f25] 'ImagePath' = 'rundll32.exe "C:\Users\Public\gec\gecifde.dll" main'
Создает следующие сервисы
- '8f85a1283bb5f66f52b3b25637da49d6' rundll32.exe "%ProgramFiles(x86)%\Wimsys\chrome_manager_x64.dll" main
- '8c406d82f16b0b72e37388cd3c1c2192' rundll32.exe "%ProgramFiles(x86)%\Wimsys\chrome_manager.dll" main
- 'd0d7ceff28b9ae632cebebbf14a73f25' rundll32.exe "C:\Users\Public\gec\gecifde.dll" main
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /IM msedge.exe
- '%WINDIR%\syswow64\taskkill.exe' /IM chrome.exe
Устанавливает процедуры перхвата сообщений
оконных сообщений:
- Библиотека-обработчик для всех процессов: %ProgramFiles(x86)%\Wimsys\chrome_manager_x64.dll
- Библиотека-обработчик для всех процессов: %ProgramFiles(x86)%\Wimsys\chrome_manager.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsz2f4a.tmp\moreinfo.dll
- C:\users\public\gec\gecifde.dll
- %ProgramFiles(x86)%\wimsys\msg.exe
- %ProgramFiles(x86)%\wimsys\msg.inf
- %ProgramFiles(x86)%\wimsys\uninstall.tar
- %ProgramFiles(x86)%\wimsys\infile.cab
- %ProgramFiles(x86)%\wimsys\chrome_manager.dll
- %ProgramFiles(x86)%\wimsys\infile_x64.cab
- %ProgramFiles(x86)%\wimsys\chrome_manager_x64.dll
- %WINDIR%\installer\{224251de-e6a3-32d2-56c3-4f3d9554c6a4}\a27fa99fba6de5c024e71a1f642abae3
- %WINDIR%\installer\{224251de-e6a3-32d2-56c3-4f3d9554c6a4}\dfd60e42bd3c8f8842200da3d2665fdd.0.e
- %WINDIR%\installer\{224251de-e6a3-32d2-56c3-4f3d9554c6a4}\dfd60e42bd3c8f8842200da3d2665fdd.0
- %WINDIR%\installer\{224251de-e6a3-32d2-56c3-4f3d9554c6a4}\47fefea157ebc708f7fc5a5fadf13fd2.0
- %WINDIR%\installer\{224251de-e6a3-32d2-56c3-4f3d9554c6a4}\47fefea157ebc708f7fc5a5fadf13fd2.0.e
- %TEMP%\nsz2f4a.tmp\0.crx
- %TEMP%\nsz2f4a.tmp\simplesc.dll
- %TEMP%\nsz2f4a.tmp\nsexec.dll
- %TEMP%\nsk55a0.tmp
- %TEMP%\nsz2f4a.tmp\inetc.dll
- %TEMP%\nsz2f4a.tmp\ipconfig.dll
- %TEMP%\nsz2f4a.tmp\md5dll.dll
- %TEMP%\nsz2f4a.tmp\system.dll
- C:\users\public\gec\upd.inf
- %ProgramFiles(x86)%\wimsys\uninstall.exe
Удаляет следующие файлы
- %TEMP%\nsk55a0.tmp
- %TEMP%\nsz2f4a.tmp\0.crx
- %TEMP%\nsz2f4a.tmp\inetc.dll
- %TEMP%\nsz2f4a.tmp\ipconfig.dll
- %TEMP%\nsz2f4a.tmp\md5dll.dll
- %TEMP%\nsz2f4a.tmp\moreinfo.dll
- %TEMP%\nsz2f4a.tmp\nsexec.dll
- %TEMP%\nsz2f4a.tmp\simplesc.dll
- %TEMP%\nsz2f4a.tmp\system.dll
Сетевая активность
Подключается к
- 'se####atino.info':80
- '4o#####ikfsof.b-cdn.net':80
- 'em##o.info':443
- 'pk#.goog':80
TCP
Запросы HTTP GET
- http://se####atino.info/preinstaller/index.php?ev################################################################################
- http://se####atino.info/preinstaller/index.php?ev#########################################################################################
- http://4o#####ikfsof.b-cdn.net/license_1.10.655.3.dat
- http://se####atino.info/preinstaller/index.php?ev#######################################################################################
- http://se####atino.info/preinstaller/index.php?ev########################################################################################
- http://pk#.goog/gsr1/gsr1.crt
Другие
- 'em##o.info':443
UDP
- DNS ASK se####atino.info
- DNS ASK 4o#####ikfsof.b-cdn.net
- DNS ASK em##o.info
- DNS ASK pk#.goog
Другое
Ищет следующие окна
- ClassName: 'Chrome_WidgetWin_1' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /IM msedge.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /IM chrome.exe' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Edge\ExtensionInstallForcelist /v 1 /t REG_SZ /d liffkepbndfkkknedglekeghaegocokk;file:///C:/Windows/Installer/{224251de-e6a3-32d2-56c3-4f3d95...' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\Software\Policies\Google\Chrome\ExtensionInstallForcelist /v 1 /t REG_SZ /d liffkepbndfkkknedglekeghaegocokk;file:///C:/Windows/Installer/{224251de-e6a3-32d2-56c3-4f3d955...' (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' "%ProgramFiles(x86)%\Wimsys\chrome_manager_x64.dll" main --install-run' (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' "%ProgramFiles(x86)%\Wimsys\chrome_manager.dll" main --install-run' (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' "C:\Users\Public\gec\gecifde.dll" main -c uninstall' (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' "C:\Users\Public\gec\gecifde.dll" main -c install-run' (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' "%ProgramFiles(x86)%\Wimsys\chrome_manager_x64.dll" main -c cdo "Wimsys"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Edge\ExtensionInstallForcelist /v 1 /t REG_SZ /d liffkepbndfkkknedglekeghaegocokk;file:///C:/Windows/Installer/{224251de-e6a3-32d2-56c3-4f3d95...
- '<SYSTEM32>\rundll32.exe' C:\Users\Public\gec\gecifde.dll main brxz
- '<SYSTEM32>\rundll32.exe' "C:\Users\Public\gec\gecifde.dll" main
- '<SYSTEM32>\rundll32.exe' "C:\Users\Public\gec\gecifde.dll" main -c install-run
- '%WINDIR%\syswow64\rundll32.exe' "C:\Users\Public\gec\gecifde.dll" main -c install-run
- '%WINDIR%\syswow64\rundll32.exe' "%ProgramFiles(x86)%\Wimsys\chrome_manager.dll" main tM0Z78Q7g D3H6MnCad
- '<SYSTEM32>\rundll32.exe' "C:\Users\Public\gec\gecifde.dll" main -c uninstall
- '%WINDIR%\syswow64\rundll32.exe' "%ProgramFiles(x86)%\Wimsys\chrome_manager_x64.dll" main -c cdo "Wimsys"
- '%WINDIR%\syswow64\rundll32.exe' "C:\Users\Public\gec\gecifde.dll" main -c uninstall
- '<SYSTEM32>\rundll32.exe' "%ProgramFiles(x86)%\Wimsys\chrome_manager_x64.dll" main dC1fUD4cj enpo71Tfe
- '%WINDIR%\syswow64\rundll32.exe' "%ProgramFiles(x86)%\Wimsys\chrome_manager.dll" main --install-run
- '<SYSTEM32>\rundll32.exe' "%ProgramFiles(x86)%\Wimsys\chrome_manager_x64.dll" main
- '<SYSTEM32>\rundll32.exe' "%ProgramFiles(x86)%\Wimsys\chrome_manager_x64.dll" main --install-run
- '%WINDIR%\syswow64\rundll32.exe' "%ProgramFiles(x86)%\Wimsys\chrome_manager_x64.dll" main --install-run
- '%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\Software\Policies\Google\Chrome\ExtensionInstallForcelist /v 1 /t REG_SZ /d liffkepbndfkkknedglekeghaegocokk;file:///C:/Windows/Installer/{224251de-e6a3-32d2-56c3-4f3d955...
- '<SYSTEM32>\rundll32.exe' "%ProgramFiles(x86)%\Wimsys\chrome_manager.dll" main
- '<SYSTEM32>\rundll32.exe' "%ProgramFiles(x86)%\Wimsys\chrome_manager_x64.dll" main -c cdo "Wimsys"
