Trojan.BPlug.3632

Техническая информация

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /F /T /IM chrome.exe
'%WINDIR%\syswow64\taskkill.exe' /F /T /IM firefox.exe

Завершает или пытается завершить

следующие пользовательские процессы:

firefox.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-9biej.tmp\<Имя файла>.tmp
%APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\is-lcq44.tmp
%APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\chrome\is-2i6q8.tmp
%APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\extensions\is-t4jeg.tmp
%TEMP%\is-8tgcs.tmp\is-o98a7.tmp
%LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\js\is-0m5j7.tmp
%LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\is-a5mhr.tmp
%LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\is-65qi7.tmp
%TEMP%\is-8tgcs.tmp\is-vpv1o.tmp
%LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\is-qqtni.tmp
%LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\is-phr20.tmp
%LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\is-ponnl.tmp
%TEMP%\is-8tgcs.tmp\is-41d21.tmp
%APPDATA%\is-7q9sc.tmp
%TEMP%\is-8tgcs.tmp\_isetup\_setup64.tmp
%TEMP%\is-qllb7.tmp\<Имя файла>.tmp
%TEMP%\is-sqg9t.tmp\_isetup\_setup64.tmp
%LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\is-8bpcs.tmp
%APPDATA%\browsermodule\component.log

Удаляет следующие файлы

%TEMP%\is-sqg9t.tmp\_isetup\_setup64.tmp
%TEMP%\is-9biej.tmp\<Имя файла>.tmp
%APPDATA%\setup.dll
%TEMP%\is-8tgcs.tmp\chrome.txt
%TEMP%\is-8tgcs.tmp\mozilla.txt
%TEMP%\is-8tgcs.tmp\opera.txt
%TEMP%\is-8tgcs.tmp\_isetup\_setup64.tmp
%TEMP%\is-qllb7.tmp\<Имя файла>.tmp

Перемещает следующие файлы

%APPDATA%\is-7q9sc.tmp в %APPDATA%\setup.dll
%TEMP%\is-8tgcs.tmp\is-41d21.tmp в %TEMP%\is-8tgcs.tmp\chrome.txt
%LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\is-ponnl.tmp в %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\index.html
%LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\is-phr20.tmp в %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\manifest.json
%LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\is-8bpcs.tmp в %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\icon128.png
%LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\is-qqtni.tmp в %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\icon16.png
%LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\is-65qi7.tmp в %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\icon24.png
%LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\is-a5mhr.tmp в %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\icon32.png
%LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\js\is-0m5j7.tmp в %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\js\background.js
%TEMP%\is-8tgcs.tmp\is-o98a7.tmp в %TEMP%\is-8tgcs.tmp\mozilla.txt
%APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\extensions\is-t4jeg.tmp в %APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\extensions\300414@extcorp.com.xpi
%APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\chrome\is-2i6q8.tmp в %APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\chrome\usercontent.css
%TEMP%\is-8tgcs.tmp\is-vpv1o.tmp в %TEMP%\is-8tgcs.tmp\opera.txt

Изменяет следующие файлы

%LOCALAPPDATA%\google\chrome\user data\default\secure preferences
%LOCALAPPDATA%\google\chrome\user data\default\preferences
%APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\extensions.json

Подменяет следующие файлы

%APPDATA%\Mozilla\Firefox\Profiles\apc2n9d1.default-release\user.js

Сетевая активность

UDP

DNS ASK gs###report.pw

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-9biej.tmp\<Имя файла>.tmp' /SL5="$5024C,234157,121344,<Полный путь к файлу>"
'%TEMP%\is-qllb7.tmp\<Имя файла>.tmp' /SL5="$15017C,234157,121344,<Полный путь к файлу>" /VERYSILENT

Перезапускает анализируемый образец

Запускает на исполнение