Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Google Update' = '%APPDATA%\Googlr\chrome.exe'
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- chrome.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ixp000.tmp\setupx.exe
- %TEMP%\ixp000.tmp\setup.exe
- %APPDATA%\googlr\chrome.exe.config
- %APPDATA%\googlr\chrome.exe
- %TEMP%\is-skmvs.tmp\setup.tmp
- %TEMP%\is-n4q5i.tmp\_isetup\_setup64.tmp
- %TEMP%\is-n4q5i.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-n4q5i.tmp\_isetup\_iscrypt.dll
- %TEMP%\is-n4q5i.tmp\vclstylesinno.dll
- %TEMP%\is-n4q5i.tmp\isdone.dll
- %TEMP%\is-n4q5i.tmp\bass.dll
- %TEMP%\is-n4q5i.tmp\bp.dll
- %TEMP%\is-n4q5i.tmp\wintb.dll
- %APPDATA%\0cb67e2f-dc95-45ca-8fb8-69bde8e3f814\run.dat
Сетевая активность
UDP
- DNS ASK 33#.##odework.com
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\ixp000.tmp\setupx.exe'
- '%APPDATA%\googlr\chrome.exe'
- '%TEMP%\ixp000.tmp\setup.exe'
- '%TEMP%\is-skmvs.tmp\setup.tmp' /SL5="$60248,5652748,168448,%TEMP%\IXP000.TMP\Setup.exe"
