Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\16d352c5223eab19921ef343bd1c104c] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\16d352c5223eab19921ef343bd1c104c] 'ImagePath' = 'rundll32.exe "%ProgramFiles(x86)%\Chrome Extension Manager\chrome_manager_x64.dll" main'
- [HKLM\System\CurrentControlSet\Services\61eb1a92c5590cd1b199e91cc5b5b89f] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\61eb1a92c5590cd1b199e91cc5b5b89f] 'ImagePath' = 'rundll32.exe "%ProgramFiles(x86)%\Chrome Extension Manager\chrome_manager.dll" main'
- [HKLM\System\CurrentControlSet\Services\d619ecf5f4cc56da937a28a6ea3fd0f4] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\d619ecf5f4cc56da937a28a6ea3fd0f4] 'ImagePath' = 'rundll32.exe "%WINDIR%\ximpfq.cpl" TluuQJZmjl'
Создает следующие сервисы
- '16d352c5223eab19921ef343bd1c104c' rundll32.exe "%ProgramFiles(x86)%\Chrome Extension Manager\chrome_manager_x64.dll" main
- '61eb1a92c5590cd1b199e91cc5b5b89f' rundll32.exe "%ProgramFiles(x86)%\Chrome Extension Manager\chrome_manager.dll" main
- 'd619ecf5f4cc56da937a28a6ea3fd0f4' rundll32.exe "%WINDIR%\ximpfq.cpl" TluuQJZmjl
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /IM firefox.exe /f
Устанавливает процедуры перехвата сообщений
оконных сообщений:
- Библиотека-обработчик для всех процессов: %ProgramFiles(x86)%\Chrome Extension Manager\chrome_manager_x64.dll
- Библиотека-обработчик для всех процессов: %ProgramFiles(x86)%\Chrome Extension Manager\chrome_manager.dll
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsxa45a.tmp\kbdhau.dll
- %TEMP%\nsxa45a.tmp\dpapiprovider.dll
- %TEMP%\nsxa45a.tmp\dpwsockx.dll
- %TEMP%\nsxa45a.tmp\l_intl.nls
- %TEMP%\nsxa45a.tmp\microsoft-windows-kernel-processor-power-events.dll
- %TEMP%\nsxa45a.tmp\dmvscres.dll
- %TEMP%\nsxa45a.tmp\slcext.dll
- %TEMP%\nsxa45a.tmp\acppage.dll
- %TEMP%\nsxa45a.tmp\kbdsw09.dll
- %TEMP%\nsxa45a.tmp\riched32.dll
- %TEMP%\nsxa45a.tmp\pmspl.dll
- %TEMP%\nsxa45a.tmp\vbisurf.ax
- %TEMP%\nsxa45a.tmp\schedcli.dll
- %TEMP%\nsxa45a.tmp\graphics.pro
- %TEMP%\nsxa45a.tmp\simpdata.tlb
- %TEMP%\nsxa45a.tmp\shpafact.dll
- %TEMP%\nsxa45a.tmp\wfapigp.dll
- %TEMP%\nsxa45a.tmp\msg.exe
- %TEMP%\nsxa45a.tmp\waitfor.exe
- %TEMP%\nsxa45a.tmp\perfd019.dat
- %TEMP%\nsxa45a.tmp\comp.exe
- %TEMP%\nsxa45a.tmp\msrle32.dll
- %TEMP%\nsxa45a.tmp\kbdjpn.dll
- %TEMP%\nsxa45a.tmp\kbdgeo.dll
- %TEMP%\nsxa45a.tmp\12520850.cpx
- %TEMP%\nsxa45a.tmp\chgusr.exe
- %TEMP%\nsxa45a.tmp\find.exe
- %TEMP%\nsxa45a.tmp\uwkrudftvu.map
- %TEMP%\nsxa45a.tmp\jxvjbzktmb.dll
- %ProgramFiles(x86)%\chrome extension manager\msg.exe
- %ProgramFiles(x86)%\chrome extension manager\msg.inf
- %ProgramFiles(x86)%\chrome extension manager\uninstall.tar
- %ProgramFiles(x86)%\chrome extension manager\infile.cab
- %ProgramFiles(x86)%\chrome extension manager\chrome_manager.dll
- %WINDIR%\ximpfq.cpl
- %ProgramFiles(x86)%\chrome extension manager\infile_x64.cab
- %ProgramFiles(x86)%\chrome extension manager\chrome_manager_x64.dll
- %ALLUSERSPROFILE%\ntuser.pol
- %TEMP%\nssb4b1.tmp\execdos.dll
- <SYSTEM32>\grouppolicy\gpt.ini
- <SYSTEM32>\grouppolicy\adm\chrome.adm
- <SYSTEM32>\grouppolicy\machine\registry.pol
- <SYSTEM32>\grouppolicy\machine\template.pol
- %WINDIR%\installer\{07c45acf-209c-e775-24d0-3ab4327d5c96}\419106e719bee1c6c1a4d5d0616920a2
- %WINDIR%\installer\{07c45acf-209c-e775-24d0-3ab4327d5c96}\bb18525315b0eb64977c45719348b270
- %WINDIR%\installer\{07c45acf-209c-e775-24d0-3ab4327d5c96}\aab8e6e6564b8d3a94b6e529d6e1277c
- %WINDIR%\installer\{07c45acf-209c-e775-24d0-3ab4327d5c96}\7b9469331b57113ff413125d408af184
- %TEMP%\nssb4b1.tmp\nsexec.dll
- %TEMP%\nssb4b1.tmp\simplesc.dll
- %TEMP%\nssb4b1.tmp\inetc.dll
- %TEMP%\nssb4b1.tmp\ipconfig.dll
- %TEMP%\nssb4b1.tmp\md5dll.dll
- %TEMP%\nssb4b1.tmp\moreinfo.dll
- %TEMP%\nssb4b1.tmp\system.dll
- %TEMP%\nsxa45a.tmp\exe2bin.exe
- %WINDIR%\installer\{07c45acf-209c-e775-24d0-3ab4327d5c96}\{947567da-3457-4eab-ff56-987452456322}.xpi
- %TEMP%\nsxa45a.tmp\iaspolcy.dll
- %TEMP%\nsxa45a.tmp\tapisysprep.dll
- %TEMP%\nsxa45a.tmp\kbdtiprc.dll
- %TEMP%\nsxa45a.tmp\tspnprdrcoinstaller.dll
- %TEMP%\nsxa45a.tmp\efsutil.dll
- %TEMP%\nsxa45a.tmp\acproxy.dll
- %TEMP%\nsxa45a.tmp\cngprovider.dll
- %TEMP%\nsxa45a.tmp\web.rs
- %TEMP%\nsxa45a.tmp\kbddv.dll
- %TEMP%\nsxa45a.tmp\commdlg.dll
- %TEMP%\nsxa45a.tmp\gpscript.dll
- %TEMP%\nsxa45a.tmp\ieetwproxystub.dll
- %TEMP%\nsxa45a.tmp\kbdropr.dll
- %TEMP%\nsxa45a.tmp\kbdcz2.dll
- %TEMP%\nsxa45a.tmp\tsusbredirectiongrouppolicycontrol.exe
- %TEMP%\nsxa45a.tmp\kbdla.dll
- %TEMP%\nsxa45a.tmp\brdgcfg.dll
- %TEMP%\nsxa45a.tmp\mgmtapi.dll
- %TEMP%\nsxa45a.tmp\debug.exe
- %TEMP%\nsxa45a.tmp\bitsprx3.dll
- %TEMP%\nsxa45a.tmp\rpcns4.dll
- %TEMP%\nsxa45a.tmp\appidsvc.dll
- %TEMP%\nsxa45a.tmp\wshbth.dll
- %TEMP%\nsxa45a.tmp\pegi.rs
- %TEMP%\nsxa45a.tmp\scrnsave.scr
- %TEMP%\nsxa45a.tmp\snmpapi.dll
- %TEMP%\nsxa45a.tmp\secinit.exe
- %TEMP%\nsxa45a.tmp\scavengespace.xml
- %TEMP%\nsxa45a.tmp\encapi.dll
- %TEMP%\nsxa45a.tmp\nshhttp.dll
- %TEMP%\nsxa45a.tmp\inetppui.dll
- %TEMP%\nsxa45a.tmp\kbdbu.dll
- %TEMP%\nsxa45a.tmp\laprxy.dll
- %TEMP%\nsxa45a.tmp\kbdhu1.dll
- %TEMP%\nsxa45a.tmp\kbdturme.dll
- %TEMP%\nsxa45a.tmp\mf3216.dll
- %TEMP%\nsxa45a.tmp\subst.exe
- %TEMP%\nsxa45a.tmp\edit.hlp
- %TEMP%\nsxa45a.tmp\rasadhlp.dll
- %TEMP%\nsxa45a.tmp\wlaninst.dll
- %TEMP%\nsxa45a.tmp\dinotify.exe
- %TEMP%\nsxa45a.tmp\kbdukx.dll
- %TEMP%\nsxa45a.tmp\format.com
- %TEMP%\nsxa45a.tmp\kbdlk41a.dll
- %TEMP%\nsxa45a.tmp\dpnaddr.dll
- %TEMP%\nsxa45a.tmp\javascriptcollectionagent.dll
- %TEMP%\nsxa45a.tmp\kbdinkan.dll
- %TEMP%\nsxa45a.tmp\lzexpand.dll
- %TEMP%\nsxa45a.tmp\kbdhu.dll
- %TEMP%\nsxa45a.tmp\edlin.exe
- %TEMP%\nsxa45a.tmp\wshrm.dll
- %TEMP%\nsxa45a.tmp\kbdnso.dll
- %TEMP%\nsxa45a.tmp\proquota.exe
- %TEMP%\nsxa45a.tmp\kbdarme.dll
- %TEMP%\nsxa45a.tmp\winsock.dll
- %TEMP%\nsxa45a.tmp\nddeapi.dll
- %TEMP%\nssb4b1.tmp\nsjson.dll
Удаляет следующие файлы
- <SYSTEM32>\grouppolicy\machine\template.pol
- %WINDIR%\ximpfq.cpl
Изменяет следующие файлы
- %APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\extensions.json
Подменяет следующие файлы
- %WINDIR%\ximpfq.cpl
Сетевая активность
UDP
- DNS ASK ta####chnology.com
- DNS ASK te#####ogiekingwin.com
Другое
Ищет следующие окна
- ClassName: '#32770' WindowName: ''
- ClassName: 'Chrome_WidgetWin_1' WindowName: ''
- ClassName: 'SysListView32' WindowName: ''
- ClassName: 'MozillaWindowClass' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\chrome extension manager\msg.exe' -c iffp
Запускает на исполнение
- '%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\Software\Policies\Google\Chrome\ExtensionInstallForcelist /v 1 /t REG_SZ /d kocbepmfamjimgdjfobnecfcdmlooncl;file:///C:/Windows/Installer/{07c45acf-209c-e775-24d0-3ab4327... (со скрытым окном)
- '%WINDIR%\syswow64\gpupdate.exe' /force (со скрытым окном)
- '<SYSTEM32>\svchost.exe' -k secsvcs
- '%WINDIR%\syswow64\rundll32.exe' "%ProgramFiles(x86)%\Chrome Extension Manager\chrome_manager_x64.dll" main --install-no-updater-run (со скрытым окном)
- '<SYSTEM32>\rundll32.exe' "%ProgramFiles(x86)%\Chrome Extension Manager\chrome_manager_x64.dll" main --install-no-updater-run
- '<SYSTEM32>\raserver.exe' /offerraupdate
- '<SYSTEM32>\rundll32.exe' "%ProgramFiles(x86)%\Chrome Extension Manager\chrome_manager_x64.dll" main
- '%WINDIR%\syswow64\rundll32.exe' "%ProgramFiles(x86)%\Chrome Extension Manager\chrome_manager.dll" main --install-run (со скрытым окном)
- '<SYSTEM32>\rundll32.exe' "%ProgramFiles(x86)%\Chrome Extension Manager\chrome_manager_x64.dll" main HxhOBdRvV UbAg5j234
- '<SYSTEM32>\rundll32.exe' "%ProgramFiles(x86)%\Chrome Extension Manager\chrome_manager.dll" main
- '%WINDIR%\syswow64\rundll32.exe' "%ProgramFiles(x86)%\Chrome Extension Manager\chrome_manager.dll" main 8wFXDOR8z iemocy1TR
- '<SYSTEM32>\rundll32.exe' "%WINDIR%\ximpfq.cpl" TluuQJZmjl
- '%WINDIR%\syswow64\rundll32.exe' %WINDIR%\ximpfq.cpl TluuQJZmjl aqti
- '%WINDIR%\syswow64\taskkill.exe' /IM firefox.exe /f (со скрытым окном)
- '%ProgramFiles(x86)%\chrome extension manager\msg.exe' -c iffp (со скрытым окном)
