Техническая информация
Вредоносные функции
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\explorer.exe
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\sogouexplorer.zip
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\sessionstore.jsonlz4
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\sessionstore-backups\upgrade.jsonlz4-20190225143501
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\sessionstore-backups\upgrade.jsonlz4-20190211233335
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\sessionstore-backups\previous.jsonlz4
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\sessioncheckpoints.json
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\search.json.mozlz4
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\prefs.js
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\pluginreg.dat
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\places.sqlite
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\pkcs11.txt
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\permissions.sqlite
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\key4.db
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\handlers.json
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\extensions.json
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\datareporting\state.json
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\shield-preference-experiments.json
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\storage.sqlite
- %TEMP%\isr0ull4g\7za.exe
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\storage\permanent\chrome\.metadata
- %WINDIR%\setup\state\tmpstate.7z
- %LOCALAPPDATA%\tencent\qqbrowser\user data\default\bookmarks_01
- %LOCALAPPDATA%\tencent\qqbrowser\user data\default\bookmarks
- %LOCALAPPDATA%\tencent\qqbrowser.zip
- %APPDATA%\360se6\user data\default\bookmarks
- %APPDATA%\mozilla\firefox\profiles\profiles.log
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\xulstore.json
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\webappsstore.sqlite
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\weave\tofetch\tabs.json
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\weave\failed\tabs.json
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\times.json
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\storage\permanent\chrome\idb\3561288849sdhlie.sqlite
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\storage\permanent\chrome\idb\2918063365piupsah.sqlite
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\storage\permanent\chrome\idb\1451318868ntouromlalnodry--epcr.sqlite
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\storage\permanent\chrome\.metadata-v2
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\datareporting\session-state.json
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\sitesecurityservicestate.txt
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\datareporting\archived\2019-03\1552200848746.e426a42e-682c-4b51-9c8d-39245af55444.main.jsonlz4
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\cert9.db
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\blocklist.xml
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\addonstartup.json.lz4
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\addons.json
- %APPDATA%\mozilla\firefox\crash reports\installtime20190225143501
- %APPDATA%\mozilla\firefox\crash reports\installtime20190211233335
- %APPDATA%\mozilla.zip
- %APPDATA%\baidu\baidubrowser\user_data\default\settings\user_setting.db
- %APPDATA%\baidu\baidubrowser\user_data\default\settings\settings.db
- %APPDATA%\baidu\baidubrowser\user_data\default\bookmark\bookmark.db
- %APPDATA%\baidu\baidubrowser.zip
- %LOCALAPPDATA%\2345explorer\user data\default\bookmarksv2
- %LOCALAPPDATA%\360chrome\chrome\user data\default\bookmarks
- %LOCALAPPDATA%\google\chrome\user data\default\bookmarks
- %LOCALAPPDATA%\google.zip
- %APPDATA%\sogouexplorer\favorite3.dat
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\broadcast-listeners.json
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\compatibility.ini
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\datareporting\archived\2019-03\1552200569992.47f1c95a-8f91-43fb-896e-6a290faab258.main.jsonlz4
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\containers.json
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\datareporting\archived\2019-03\1552057910953.ee1065d6-4494-45af-bc11-52c515b5fc5f.main.jsonlz4
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\datareporting\archived\2019-03\1552057859077.ee4531e2-b7ad-40c1-90ba-2fa0ca72ff2a.main.jsonlz4
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\datareporting\archived\2019-03\1552057492363.a896da6c-7cc7-4347-b363-ecbcd243186b.main.jsonlz4
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\datareporting\archived\2019-03\1552057491958.016da8e6-a809-4924-a57d-7f1d626b4b0a.health.jsonlz4
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\datareporting\archived\2019-03\1552057491907.974d8be3-0c22-430b-8358-1037dcc4fc17.health.jsonlz4
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\datareporting\archived\2019-02\1551176074306.3d6e140b-0686-4f27-9f81-c4f16cf75495.main.jsonlz4
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\datareporting\archived\2019-02\1551176074280.5d271550-2d96-4bfa-8bb8-20a394e876cc.health.jsonlz4
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\datareporting\archived\2019-02\1551176074239.244ad4e5-4553-4c93-8a73-f0b58f447521.health.jsonlz4
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\datareporting\archived\2019-02\1551176054159.0b2c25df-0121-4515-a72e-939763fa69f3.first-shutdown.jsonlz4
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\datareporting\archived\2019-02\1551176054155.2c95b9b6-7cc4-4276-9e1b-ac1f479f8290.main.jsonlz4
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\datareporting\archived\2019-02\1551176054084.f5a3d023-6b36-427f-bc5c-bd49e0c96f27.new-profile.jsonlz4
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\datareporting\archived\2019-02\1551176053914.5498e1db-ec83-4398-aabb-b1d74c46f34f.event.jsonlz4
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\crashes\store.json.mozlz4
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\cookies.sqlite
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\content-prefs.sqlite
- %APPDATA%\mozilla\firefox\profiles\4zytiq1u.default\datareporting\archived\2019-03\1552200813338.f6202e8d-499e-4a5a-928a-67794e6d5eb0.modules.jsonlz4
- %WINDIR%\setup\state\ssl\certum trusted network ca 2.cer
Удаляет следующие файлы
- %APPDATA%\sogouexplorer.zip
- %LOCALAPPDATA%\google.zip
- %APPDATA%\baidu\baidubrowser.zip
- %APPDATA%\mozilla.zip
- %LOCALAPPDATA%\tencent\qqbrowser.zip
- %WINDIR%\setup\state\state.ini
- %TEMP%\isr0ull4g\7za.exe
- %WINDIR%\setup\state\tmpstate.7z
Подменяет следующие файлы
- %LOCALAPPDATA%\Google\Chrome\User Data\Default\Preferences
- %LOCALAPPDATA%\Google\Chrome\User Data\Default\Secure Preferences
- %APPDATA%\Mozilla\Firefox\profiles.ini
Сетевая активность
Подключается к
- 'ba##u.com':80
- 'tw#.#aifti.com':88
TCP
Запросы HTTP GET
- http://47.##.74.149:88/pc/?m=################################################################
- http://47.##.74.149:88/pc/?m=########################################################################################
UDP
- DNS ASK ba##u.com
- DNS ASK tw#.#aifti.com
Другое
Добавляет корневой сертификат
Ищет следующие окна
- ClassName: '' WindowName: 'Microsoft Windows'
- ClassName: '' WindowName: 'ϵͳÉèÖøü¸Ä'
- ClassName: '' WindowName: 'Windows ×ÊÔ´¹ÜÀГÆ÷'
- ClassName: '' WindowName: 'ÍøÖ·´óÈ« - Ëѹ·¸ßËÙä¯ÀÀÆ÷'
- ClassName: 'Progman' WindowName: ''
- ClassName: 'Proxy Desktop' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\isr0ull4g\7za.exe' x "%WINDIR%\Setup\State\TmpState.7z" -o"%WINDIR%\Setup\State" -aoa -t7z -pU#wnfh7us81.7ev&nv
Запускает на исполнение
- '%WINDIR%\explorer.exe' (со скрытым окном)
- '%TEMP%\isr0ull4g\7za.exe' x "%WINDIR%\Setup\State\TmpState.7z" -o"%WINDIR%\Setup\State" -aoa -t7z -pU#wnfh7us81.7ev&nv (со скрытым окном)
Пытается завершить работу операционной системы Windows.
