Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ChromeUpdate' = '%TEMP%\ChromeUpdate.exe'
Вредоносные функции
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Регистрирует BHO
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{ded2e6b6-d56b-4ccb-89b1-cd99f8b4fc4d}]
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{ded2e6b6-d56b-4ccb-89b1-cd99f8b4fc4d}\NoExplorer]
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{ded2e6b6-d56b-4ccb-89b1-cd99f8b4fc4d}]
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{ded2e6b6-d56b-4ccb-89b1-cd99f8b4fc4d}\NoExplorer]
Изменения в файловой системе
Создает следующие файлы
- %ProgramFiles(x86)%\i-beta\extensions\ie\adxregistrator.exe
- %APPDATA%\mozilla\firefox\profiles\0j9e9tku.default-release\extensions\plugin@analytic-s.com\chrome\content\logo48.png
- %APPDATA%\mozilla\firefox\profiles\0j9e9tku.default-release\extensions\plugin@analytic-s.com\chrome\content\firefox.js
- %APPDATA%\mozilla\firefox\profiles\0j9e9tku.default-release\extensions\plugin@analytic-s.com\chrome\content\browser.xul
- %APPDATA%\mozilla\firefox\profiles\0j9e9tku.default-release\extensions\plugin@analytic-s.com\chrome\content\browser.js
- %APPDATA%\mozilla\firefox\profiles\0j9e9tku.default-release\extensions\plugin@analytic-s.com\install.rdf
- %APPDATA%\mozilla\firefox\profiles\0j9e9tku.default-release\extensions\plugin@analytic-s.com\chrome.manifest
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\extensions\plugin@i-beta.com\defaults\preferences\prefs.js
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\extensions\plugin@i-beta.com\chrome\content\zepto.js
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\extensions\plugin@i-beta.com\chrome\content\main.js
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\extensions\plugin@i-beta.com\chrome\content\icon64.png
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\extensions\plugin@i-beta.com\chrome\content\firefox.js
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\extensions\plugin@i-beta.com\chrome\content\browser.xul
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\extensions\plugin@i-beta.com\chrome\content\browser.js
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\extensions\plugin@i-beta.com\install.rdf
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\extensions\plugin@i-beta.com\chrome.manifest
- %APPDATA%\mozilla\firefox\profiles\bcjnbgva.default\extensions\plugin@i-beta.com\defaults\preferences\prefs.js
- %APPDATA%\mozilla\firefox\profiles\bcjnbgva.default\extensions\plugin@i-beta.com\chrome\content\zepto.js
- %APPDATA%\mozilla\firefox\profiles\0j9e9tku.default-release\extensions\plugin@analytic-s.com\chrome\content\main.js
- %APPDATA%\mozilla\firefox\profiles\0j9e9tku.default-release\extensions\plugin@analytic-s.com\defaults\preferences\prefs.js
- %APPDATA%\mozilla\firefox\profiles\0j9e9tku.default-release\extensions\plugin@analytic-s.com\locale\en-us\translations.dtd
- %APPDATA%\mozilla\firefox\profiles\0j9e9tku.default-release\extensions\plugin@analytic-s.com\skin\main.css
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\extensions\plugin@analytic-s.com\defaults\preferences\prefs.js
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\extensions\plugin@analytic-s.com\chrome\content\main.js
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\extensions\plugin@analytic-s.com\chrome\content\logo48.png
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\extensions\plugin@analytic-s.com\chrome\content\firefox.js
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\extensions\plugin@analytic-s.com\chrome\content\browser.xul
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\extensions\plugin@analytic-s.com\chrome\content\browser.js
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\extensions\plugin@analytic-s.com\install.rdf
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\extensions\plugin@analytic-s.com\chrome.manifest
- %APPDATA%\mozilla\firefox\profiles\bcjnbgva.default\extensions\plugin@analytic-s.com\locale\en-us\translations.dtd
- %APPDATA%\mozilla\firefox\profiles\bcjnbgva.default\extensions\plugin@analytic-s.com\skin\main.css
- %APPDATA%\mozilla\firefox\profiles\bcjnbgva.default\extensions\plugin@analytic-s.com\defaults\preferences\prefs.js
- %APPDATA%\mozilla\firefox\profiles\bcjnbgva.default\extensions\plugin@analytic-s.com\chrome\content\main.js
- %APPDATA%\mozilla\firefox\profiles\bcjnbgva.default\extensions\plugin@analytic-s.com\chrome\content\logo48.png
- %APPDATA%\mozilla\firefox\profiles\bcjnbgva.default\extensions\plugin@analytic-s.com\chrome\content\firefox.js
- %APPDATA%\mozilla\firefox\profiles\bcjnbgva.default\extensions\plugin@analytic-s.com\chrome\content\browser.xul
- %APPDATA%\mozilla\firefox\profiles\bcjnbgva.default\extensions\plugin@analytic-s.com\chrome\content\browser.js
- %APPDATA%\mozilla\firefox\profiles\bcjnbgva.default\extensions\plugin@analytic-s.com\install.rdf
- %APPDATA%\mozilla\firefox\profiles\bcjnbgva.default\extensions\plugin@analytic-s.com\chrome.manifest
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\extensions\plugin@analytic-s.com\locale\en-us\translations.dtd
- %APPDATA%\mozilla\firefox\profiles\bcjnbgva.default\extensions\plugin@i-beta.com\chrome\content\main.js
- %APPDATA%\mozilla\firefox\profiles\bcjnbgva.default\extensions\plugin@i-beta.com\chrome\content\icon64.png
- %APPDATA%\mozilla\firefox\profiles\bcjnbgva.default\extensions\plugin@i-beta.com\chrome\content\firefox.js
- %ProgramFiles(x86)%\i-beta.com\i-beta.com extension\adxloader.dll.manifest
- %ProgramFiles(x86)%\i-beta.com\i-beta.com extension\addinexpress.ie.dll
- %ProgramFiles(x86)%\i-beta.com\i-beta.com extension\adxloader64.dll
- %ProgramFiles(x86)%\i-beta.com\i-beta.com extension\adxregistrator.exe
- %ProgramFiles(x86)%\i-beta\extensions\chrome\i-beta.crx
- %TEMP%\cfg71e4.tmp
- %ProgramFiles(x86)%\i-beta\extensions\ie\install.cmd
- %ProgramFiles(x86)%\i-beta\extensions\ie\ibetaieext.dll
- %ProgramFiles(x86)%\i-beta\extensions\ie\ibetaieext.msi
- %ProgramFiles(x86)%\i-beta\extensions\ie\interop.shdocvw.dll
- %ProgramFiles(x86)%\i-beta\extensions\ie\ionic.zip.dll
- %ProgramFiles(x86)%\i-beta\extensions\ie\microsoft.mshtml.dll
- %ProgramFiles(x86)%\i-beta\extensions\ie\setup.exe
- %ProgramFiles(x86)%\i-beta\extensions\ie\addinexpress.ie.dll
- %ProgramFiles(x86)%\i-beta\extensions\ie\adxloader.dll
- %ProgramFiles(x86)%\i-beta\extensions\ie\adxloader.dll.manifest
- %ProgramFiles(x86)%\i-beta\extensions\ie\adxloader64.dll
- %ProgramFiles(x86)%\i-beta.com\i-beta.com extension\ionic.zip.dll
- %ProgramFiles(x86)%\i-beta.com\i-beta.com extension\microsoft.mshtml.dll
- %ProgramFiles(x86)%\i-beta.com\i-beta.com extension\interop.shdocvw.dll
- %ProgramFiles(x86)%\i-beta.com\i-beta.com extension\adxloader.dll
- %APPDATA%\mozilla\firefox\profiles\bcjnbgva.default\extensions\plugin@i-beta.com\chrome\content\browser.js
- %APPDATA%\mozilla\firefox\profiles\bcjnbgva.default\extensions\plugin@i-beta.com\install.rdf
- %APPDATA%\mozilla\firefox\profiles\bcjnbgva.default\extensions\plugin@i-beta.com\chrome.manifest
- %APPDATA%\mozilla\firefox\profiles\0j9e9tku.default-release\extensions\plugin@i-beta.com\defaults\preferences\prefs.js
- %APPDATA%\mozilla\firefox\profiles\0j9e9tku.default-release\extensions\plugin@i-beta.com\chrome\content\zepto.js
- %APPDATA%\mozilla\firefox\profiles\0j9e9tku.default-release\extensions\plugin@i-beta.com\chrome\content\main.js
- %APPDATA%\mozilla\firefox\profiles\0j9e9tku.default-release\extensions\plugin@i-beta.com\chrome\content\icon64.png
- %APPDATA%\mozilla\firefox\profiles\0j9e9tku.default-release\extensions\plugin@i-beta.com\chrome\content\firefox.js
- %APPDATA%\mozilla\firefox\profiles\0j9e9tku.default-release\extensions\plugin@i-beta.com\chrome\content\browser.js
- %APPDATA%\mozilla\firefox\profiles\0j9e9tku.default-release\extensions\plugin@i-beta.com\chrome\content\browser.xul
- %APPDATA%\mozilla\firefox\profiles\0j9e9tku.default-release\extensions\plugin@i-beta.com\install.rdf
- %APPDATA%\mozilla\firefox\profiles\0j9e9tku.default-release\extensions\plugin@i-beta.com\chrome.manifest
- %ProgramFiles(x86)%\i-beta.com\i-beta.com extension\adxloader64.exe
- %ProgramFiles(x86)%\i-beta.com\i-beta.com extension\adxloader.exe
- %TEMP%\chromeupdate.exe
- %LOCALAPPDATA%\google\chrome\application\42.0.2311.135\extensions\pbmbgangfmfbhnngbdgkplhjnfoaeihd.json
- %HOMEPATH%\documents\add-in express\adxregistrator.log
- %ProgramFiles(x86)%\i-beta.com\i-beta.com extension\ibetaieext.dll
- %APPDATA%\mozilla\firefox\profiles\bcjnbgva.default\extensions\plugin@i-beta.com\chrome\content\browser.xul
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\extensions\plugin@analytic-s.com\skin\main.css
Сетевая активность
Подключается к
- 'i-##ta.com':80
- 'localhost':49187
- 'localhost':49191
TCP
Запросы HTTP GET
- http://www.i-##ta.com/status/?&c##################################
- http://www.i-##ta.com/downloads/s/ib1020cm4.exe
- http://www.i-##ta.com/status/?&c#######################################################
- http://www.i-##ta.com/status/?&c####################################
- http://www.i-##ta.com/status/?&c########################################
- http://www.i-##ta.com/status/?&c###########################################
- http://www.i-##ta.com/status/?&c###################################
- http://www.i-##ta.com/status/?&c################################
UDP
- DNS ASK i-##ta.com
Другое
Ищет следующие окна
- ClassName: 'Mozilla_firefox_default-release-1_RemoteWindow' WindowName: ''
- ClassName: 'OleMainThreadWndClass' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\i-beta.com\i-beta.com extension\adxregistrator.exe' /install="ibetaieext.dll" /privileges=admin
- '%ProgramFiles%\mozilla firefox\firefox.exe' -silent' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\msiexec.exe' /qnb /i "%ProgramFiles(x86)%\i-beta\Extensions\IE\\ibetaieext.msi" ALLUSERS=1
- '%ProgramFiles%\mozilla firefox\firefox.exe' -silent
- '%ProgramFiles%\mozilla firefox\firefox.exe'
