Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im "chrome.exe"
- '%WINDIR%\syswow64\taskkill.exe' /f /im "firefox.exe"
- '%WINDIR%\syswow64\taskkill.exe' /f /im "opera.exe"
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-3ic2u.tmp\<Имя файла>.tmp
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\js\is-e9rl9.tmp
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\icon\is-c75dp.tmp
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\icon\is-5kgta.tmp
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\icon\is-tqokf.tmp
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\icon\is-kbfdo.tmp
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\is-mh0s2.tmp
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\is-v3pqc.tmp
- %TEMP%\is-3j6fo.tmp\is-4ogrm.tmp
- %APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\chrome\is-6e0e6.tmp
- %APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\is-vn98o.tmp
- %APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\extensions\is-u5edg.tmp
- %TEMP%\is-3j6fo.tmp\is-llegt.tmp
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\js\is-8217r.tmp
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\is-95743.tmp
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\is-4pepv.tmp
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\is-gamed.tmp
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\is-b9tvu.tmp
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\is-8f82a.tmp
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\is-2tln1.tmp
- %APPDATA%\is-isvid.tmp
- %TEMP%\is-3j6fo.tmp\_isetup\_isdecmp.dll
- %TEMP%\is-3j6fo.tmp\_isetup\_setup64.tmp
- %TEMP%\is-029qh.tmp\<Имя файла>.tmp
- %TEMP%\is-aud92.tmp\_isetup\_isdecmp.dll
- %TEMP%\is-aud92.tmp\_isetup\_setup64.tmp
- %TEMP%\is-3j6fo.tmp\is-ng151.tmp
- %APPDATA%\browsermodule\component.log
Удаляет следующие файлы
- %TEMP%\is-aud92.tmp\_isetup\_isdecmp.dll
- %TEMP%\is-aud92.tmp\_isetup\_setup64.tmp
- %TEMP%\is-3ic2u.tmp\<Имя файла>.tmp
- %APPDATA%\setup.dll
- %TEMP%\is-3j6fo.tmp\chrome.txt
- %TEMP%\is-3j6fo.tmp\mozilla.txt
- %TEMP%\is-3j6fo.tmp\opera.txt
- %TEMP%\is-3j6fo.tmp\_isetup\_isdecmp.dll
- %TEMP%\is-3j6fo.tmp\_isetup\_setup64.tmp
- %TEMP%\is-029qh.tmp\<Имя файла>.tmp
Перемещает следующие файлы
- %APPDATA%\is-isvid.tmp в %APPDATA%\setup.dll
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\icon\is-c75dp.tmp в %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\icon\icon32.png
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\icon\is-5kgta.tmp в %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\icon\icon24.png
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\icon\is-tqokf.tmp в %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\icon\icon16.png
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\icon\is-kbfdo.tmp в %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\icon\icon128.png
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\is-mh0s2.tmp в %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\manifest.json
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\is-v3pqc.tmp в %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\index.html
- %TEMP%\is-3j6fo.tmp\is-4ogrm.tmp в %TEMP%\is-3j6fo.tmp\mozilla.txt
- %APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\chrome\is-6e0e6.tmp в %APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\chrome\usercontent.css
- %APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\extensions\is-u5edg.tmp в %APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\extensions\163674@extcorp.com.xpi
- %TEMP%\is-3j6fo.tmp\is-llegt.tmp в %TEMP%\is-3j6fo.tmp\chrome.txt
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\js\is-8217r.tmp в %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\js\background.js
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\is-95743.tmp в %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\icon32.png
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\is-4pepv.tmp в %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\icon24.png
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\is-gamed.tmp в %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\icon16.png
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\is-b9tvu.tmp в %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\icon128.png
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\is-8f82a.tmp в %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\manifest.json
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\is-2tln1.tmp в %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\index.html
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\js\is-e9rl9.tmp в %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\js\background.js
- %TEMP%\is-3j6fo.tmp\is-ng151.tmp в %TEMP%\is-3j6fo.tmp\opera.txt
Изменяет следующие файлы
- %LOCALAPPDATA%\google\chrome\user data\default\secure preferences
- %LOCALAPPDATA%\google\chrome\user data\default\preferences
- %APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\extensions.json
Подменяет следующие файлы
- %APPDATA%\Mozilla\Firefox\Profiles\apc2n9d1.default-release\user.js
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\is-3ic2u.tmp\<Имя файла>.tmp' /SL5="$60244,293815,121344,<Полный путь к файлу>"
- '%TEMP%\is-029qh.tmp\<Имя файла>.tmp' /SL5="$80174,293815,121344,<Полный путь к файлу>" /VERYSILENT
Перезапускает анализируемый образец
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im "chrome.exe" (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im "firefox.exe" (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im "opera.exe" (со скрытым окном)
