Техническая информация
Вредоносные функции
Изменяет следующие настройки браузера Windows Internet Explorer
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments] 'SaveZoneInformation' = '00000001'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1806' = '00000000'
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1806' = '00000000'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\e1hgy1qoqr.bat
- nul
- <Текущая директория>\tmp
- %TEMP%\gbqisexsvqjq.exe
Удаляет следующие файлы
- <Текущая директория>\tmp
Подменяет следующие файлы
- <Текущая директория>\tmp
Сетевая активность
Подключается к
- 'pa###bin.com':443
- 'pk#.goog':80
TCP
Запросы HTTP GET
- http://pk#.goog/gsr1/gsr1.crt
Другие
- 'pa###bin.com':443
UDP
- DNS ASK pa###bin.com
- DNS ASK pk#.goog
Другое
Создает и запускает на исполнение
- '%TEMP%\gbqisexsvqjq.exe'
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\e1HgY1QoqR.bat" "' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\e1HgY1QoqR.bat" "
- '%WINDIR%\syswow64\reg.exe' add "HKLM\Software\Policies\Microsoft\Internet Explorer\Security" /v "DisableSecuritySettingsCheck" /t "REG_DWORD" /d "00000├Г‰┬╣├Г†┬Г‰├Г¦ΓÇö├Г‰┬╕├Г†ΓÇÿ├Г¦┼Гґ├Г‰┬╖├ГіΓÇÜ┬Вј├Г©┬▒├Г‰┬╡├ГіΓГ...
- '%WINDIR%\syswow64\reg.exe' add "HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3" /v "1806" /t "REG_DWORD" /d "00000000" /f
- '%WINDIR%\syswow64\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3" /v "1806" /t "REG_DWORD" /d "00000000" /f
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Explorer" /v "SmartScreenEnabled" /t REG_SZ /d "Off" /f
- '%WINDIR%\syswow64\reg.exe' add "HKLM\Software\Microsoft\Internet Explorer\PhishingFilter" /v "EnabledV9" /t REG_DWORD /d "0" /f
- '%WINDIR%\syswow64\reg.exe' add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\AppHost" /v "EnableWebContentEvaluation" /t REG_DWORD /d 0 /f
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\AppHost" /v "EnableWebContentEvaluation" /t REG_DWORD /d 0 /f
- '%WINDIR%\syswow64\reg.exe' add "HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer" /v "SmartScreenEnabled" /t REG_SZ /d "Off" /f
- '<SYSTEM32>\cmd.exe' /C tasklist
- '%WINDIR%\syswow64\reg.exe' add "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments" /v "ScanWithAntiVirus" /t REG_DWORD /d "1" /f
- '%WINDIR%\syswow64\reg.exe' add "HKLM\Software\Policies\Microsoft\Windows\System" /v "EnableSmartScreen" /t REG_DWORD /d "0" /f
- '%WINDIR%\syswow64\findstr.exe' /L /I pause "%TEMP%\e1HgY1QoqR.bat"
- '%WINDIR%\syswow64\findstr.exe' /L /I echo "%TEMP%\e1HgY1QoqR.bat"
- '%WINDIR%\syswow64\findstr.exe' /L /I goto "%TEMP%\e1HgY1QoqR.bat"
- '%WINDIR%\syswow64\findstr.exe' /L /I set "%TEMP%\e1HgY1QoqR.bat"
- '%WINDIR%\syswow64\cmd.exe' /c type tmp
- '%WINDIR%\syswow64\find.exe'
- '%WINDIR%\syswow64\chcp.com' 437
- '%WINDIR%\syswow64\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments" /v "SaveZoneInformation" /t REG_DWORD /d "1" /f
- '<SYSTEM32>\tasklist.exe'
