Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\16d352c5223eab19921ef343bd1c104c] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\16d352c5223eab19921ef343bd1c104c] 'ImagePath' = 'rundll32.exe "%ProgramFiles(x86)%\Chrome Extension Manager\chrome_manager_x64.dll" main'
- [HKLM\System\CurrentControlSet\Services\61eb1a92c5590cd1b199e91cc5b5b89f] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\61eb1a92c5590cd1b199e91cc5b5b89f] 'ImagePath' = 'rundll32.exe "%ProgramFiles(x86)%\Chrome Extension Manager\chrome_manager.dll" main'
- [HKLM\System\CurrentControlSet\Services\d619ecf5f4cc56da937a28a6ea3fd0f4] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\d619ecf5f4cc56da937a28a6ea3fd0f4] 'ImagePath' = 'rundll32.exe "%WINDIR%\ebcqeo.dll" PTiAXwtoVS'
Создает следующие сервисы
- '16d352c5223eab19921ef343bd1c104c' rundll32.exe "%ProgramFiles(x86)%\Chrome Extension Manager\chrome_manager_x64.dll" main
- '61eb1a92c5590cd1b199e91cc5b5b89f' rundll32.exe "%ProgramFiles(x86)%\Chrome Extension Manager\chrome_manager.dll" main
- 'd619ecf5f4cc56da937a28a6ea3fd0f4' rundll32.exe "%WINDIR%\ebcqeo.dll" PTiAXwtoVS
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /IM firefox.exe /f
Устанавливает процедуры перехвата сообщений
оконных сообщений:
- Библиотека-обработчик для всех процессов: %ProgramFiles(x86)%\Chrome Extension Manager\chrome_manager_x64.dll
- Библиотека-обработчик для всех процессов: %ProgramFiles(x86)%\Chrome Extension Manager\chrome_manager.dll
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsy705f.tmp\esomdqskuj.map
- %ProgramFiles(x86)%\chrome extension manager\msg.exe
- %ProgramFiles(x86)%\chrome extension manager\msg.inf
- %ProgramFiles(x86)%\chrome extension manager\uninstall.tar
- %ProgramFiles(x86)%\chrome extension manager\infile.cab
- %ProgramFiles(x86)%\chrome extension manager\chrome_manager.dll
- %WINDIR%\ebcqeo.dll
- %ProgramFiles(x86)%\chrome extension manager\infile_x64.cab
- %ProgramFiles(x86)%\chrome extension manager\chrome_manager_x64.dll
- %ALLUSERSPROFILE%\ntuser.pol
- %TEMP%\nsd7428.tmp\execdos.dll
- <SYSTEM32>\grouppolicy\gpt.ini
- <SYSTEM32>\grouppolicy\adm\chrome.adm
- %WINDIR%\installer\{07c45acf-209c-e775-24d0-3ab4327d5c96}\{947567da-3457-4eab-ff56-987452456322}.xpi
- <SYSTEM32>\grouppolicy\machine\registry.pol
- %WINDIR%\installer\{07c45acf-209c-e775-24d0-3ab4327d5c96}\419106e719bee1c6c1a4d5d0616920a2
- %WINDIR%\installer\{07c45acf-209c-e775-24d0-3ab4327d5c96}\bb18525315b0eb64977c45719348b270
- %WINDIR%\installer\{07c45acf-209c-e775-24d0-3ab4327d5c96}\aab8e6e6564b8d3a94b6e529d6e1277c
- %WINDIR%\installer\{07c45acf-209c-e775-24d0-3ab4327d5c96}\7b9469331b57113ff413125d408af184
- %TEMP%\nsd7428.tmp\nsexec.dll
- %TEMP%\nsd7428.tmp\simplesc.dll
- %TEMP%\nsd7428.tmp\inetc.dll
- %TEMP%\nsd7428.tmp\ipconfig.dll
- %TEMP%\nsd7428.tmp\md5dll.dll
- %TEMP%\nsd7428.tmp\moreinfo.dll
- %TEMP%\nsd7428.tmp\system.dll
- %TEMP%\nsy705f.tmp\jxdgudzrxy.dll
- <SYSTEM32>\grouppolicy\machine\template.pol
- %TEMP%\nsd7428.tmp\nsjson.dll
Удаляет следующие файлы
- <SYSTEM32>\grouppolicy\machine\template.pol
- %WINDIR%\ebcqeo.dll
Изменяет следующие файлы
- %APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\extensions.json
Подменяет следующие файлы
- %WINDIR%\ebcqeo.dll
Сетевая активность
UDP
- DNS ASK ta####chnology.com
- DNS ASK te#####ogiekingwin.com
Другое
Ищет следующие окна
- ClassName: '#32770' WindowName: ''
- ClassName: 'Chrome_WidgetWin_1' WindowName: ''
- ClassName: 'SysListView32' WindowName: ''
- ClassName: 'MozillaWindowClass' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\chrome extension manager\msg.exe' -c iffp
Запускает на исполнение
- '%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\Software\Policies\Google\Chrome\ExtensionInstallForcelist /v 1 /t REG_SZ /d kocbepmfamjimgdjfobnecfcdmlooncl;file:///C:/Windows/Installer/{07c45acf-209c-e775-24d0-3ab4327... (со скрытым окном)
- '%WINDIR%\syswow64\gpupdate.exe' /force (со скрытым окном)
- '<SYSTEM32>\svchost.exe' -k secsvcs
- '%WINDIR%\syswow64\rundll32.exe' "%ProgramFiles(x86)%\Chrome Extension Manager\chrome_manager_x64.dll" main --install-no-updater-run (со скрытым окном)
- '<SYSTEM32>\raserver.exe' /offerraupdate
- '<SYSTEM32>\rundll32.exe' "%ProgramFiles(x86)%\Chrome Extension Manager\chrome_manager_x64.dll" main --install-no-updater-run
- '<SYSTEM32>\rundll32.exe' "%ProgramFiles(x86)%\Chrome Extension Manager\chrome_manager_x64.dll" main
- '%WINDIR%\syswow64\rundll32.exe' "%ProgramFiles(x86)%\Chrome Extension Manager\chrome_manager.dll" main --install-run (со скрытым окном)
- '<SYSTEM32>\rundll32.exe' "%ProgramFiles(x86)%\Chrome Extension Manager\chrome_manager_x64.dll" main IFxpKZBJa ssWypWwP4
- '<SYSTEM32>\rundll32.exe' "%ProgramFiles(x86)%\Chrome Extension Manager\chrome_manager.dll" main
- '%WINDIR%\syswow64\rundll32.exe' "%ProgramFiles(x86)%\Chrome Extension Manager\chrome_manager.dll" main 1uHG3nwIH 2F5kZjcjn
- '<SYSTEM32>\rundll32.exe' "%WINDIR%\ebcqeo.dll" PTiAXwtoVS
- '%WINDIR%\syswow64\rundll32.exe' %WINDIR%\ebcqeo.dll PTiAXwtoVS kwli
- '%WINDIR%\syswow64\taskkill.exe' /IM firefox.exe /f (со скрытым окном)
- '%ProgramFiles(x86)%\chrome extension manager\msg.exe' -c iffp (со скрытым окном)
