Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Google Update' = '"%APPDATA%\Mozilla\Firefox\Profiles\apc2n9d1.default-release\storage\permanent\chrome\idb\1657114595AmcateirvtiSty.files\...
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'BTModemProtection' = '"%APPDATA%\Thunderbird\Profiles\rehh7ft5.default-release\minidumps\BTModemProtection.exe"'
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'Broadcom Wireless Manager UI' = '"%CommonProgramFiles%\Microsoft Shared\ink\tr-TR\bcmntray.exe"'
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'Media Manager Indexer' = '"%APPDATA%\Mozilla\Extensions\AIRSVCU.EXE"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\google update
- <SYSTEM32>\tasks\btmodemprotection
- <SYSTEM32>\tasks\broadcom wireless manager ui
- <SYSTEM32>\tasks\media manager indexer
- <SYSTEM32>\tasks\cachemgr
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' firewall set opmode mode=DISABLE
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\mozilla\firefox\plugin-container.exe
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\plugin-container.exe
- %APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\storage\permanent\chrome\idb\1657114595amcateirvtisty.files\~hljyrtt.tmp
- %APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\storage\permanent\chrome\idb\1657114595amcateirvtisty.files\googleupdate.exe
- %APPDATA%\thunderbird\profiles\rehh7ft5.default-release\minidumps\~qtnflot.tmp
- %APPDATA%\thunderbird\profiles\rehh7ft5.default-release\minidumps\btmodemprotection.exe
- %CommonProgramFiles%\microsoft shared\ink\tr-tr\~fnquwnp.tmp
- %CommonProgramFiles%\microsoft shared\ink\tr-tr\bcmntray.exe
- %APPDATA%\mozilla\extensions\~nyprcje.tmp
- %APPDATA%\mozilla\extensions\airsvcu.exe
- %ProgramFiles%\microsoft office\office14\groove\sounds\places\~arbvwxo.tmp
- %ProgramFiles%\microsoft office\office14\groove\sounds\places\cachemgr.exe
- %ProgramFiles%\microsoft office\office14\groove\tooldata\groove.net\grooveforms4\formsstyles\desert\~bozgsgb.tmp
- %ProgramFiles%\microsoft office\office14\groove\tooldata\groove.net\grooveforms4\formsstyles\desert\itype.exe
Удаляет следующие файлы
- %APPDATA%\mozilla\firefox\plugin-container.exe
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\plugin-container.exe
- %APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\storage\permanent\chrome\idb\1657114595amcateirvtisty.files\~hljyrtt.tmp
- %APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\storage\permanent\chrome\idb\1657114595amcateirvtisty.files\googleupdate.exe
- %APPDATA%\thunderbird\profiles\rehh7ft5.default-release\minidumps\~qtnflot.tmp
- %APPDATA%\thunderbird\profiles\rehh7ft5.default-release\minidumps\btmodemprotection.exe
- %CommonProgramFiles%\microsoft shared\ink\tr-tr\~fnquwnp.tmp
- %CommonProgramFiles%\microsoft shared\ink\tr-tr\bcmntray.exe
- %APPDATA%\mozilla\extensions\~nyprcje.tmp
- %APPDATA%\mozilla\extensions\airsvcu.exe
- %ProgramFiles%\microsoft office\office14\groove\sounds\places\~arbvwxo.tmp
- %ProgramFiles%\microsoft office\office14\groove\sounds\places\cachemgr.exe
- %ProgramFiles%\microsoft office\office14\groove\tooldata\groove.net\grooveforms4\formsstyles\desert\~bozgsgb.tmp
- %ProgramFiles%\microsoft office\office14\groove\tooldata\groove.net\grooveforms4\formsstyles\desert\itype.exe
Подменяет следующие файлы
- %APPDATA%\mozilla\firefox\plugin-container.exe
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\plugin-container.exe
- %APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\storage\permanent\chrome\idb\1657114595amcateirvtisty.files\googleupdate.exe
- %APPDATA%\thunderbird\profiles\rehh7ft5.default-release\minidumps\btmodemprotection.exe
- %CommonProgramFiles%\microsoft shared\ink\tr-tr\bcmntray.exe
- %APPDATA%\mozilla\extensions\airsvcu.exe
- %ProgramFiles%\microsoft office\office14\groove\sounds\places\cachemgr.exe
- %ProgramFiles%\microsoft office\office14\groove\tooldata\groove.net\grooveforms4\formsstyles\desert\itype.exe
- %APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\storage\permanent\chrome\idb\1657114595amcateirvtisty.files\~hljyrtt.tmp
- %APPDATA%\thunderbird\profiles\rehh7ft5.default-release\minidumps\~qtnflot.tmp
- %CommonProgramFiles%\microsoft shared\ink\tr-tr\~fnquwnp.tmp
- %APPDATA%\mozilla\extensions\~nyprcje.tmp
- %ProgramFiles%\microsoft office\office14\groove\sounds\places\~arbvwxo.tmp
- %ProgramFiles%\microsoft office\office14\groove\tooldata\groove.net\grooveforms4\formsstyles\desert\~bozgsgb.tmp
Сетевая активность
UDP
- 'localhost':49699
- 'localhost':51515
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C DIR /A:D /S /B * (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /CREATE /F /SC MINUTE /MO 17 /TN "Google Update" /TR "\"%APPDATA%\Mozilla\Firefox\Profiles\apc2n9d1.default-release\storage\permanent\chrome\idb\1657114595AmcateirvtiSty.files\GoogleUpdate.exe\... (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /CREATE /F /SC MINUTE /MO 24 /TN "BTModemProtection" /TR "\"%APPDATA%\Thunderbird\Profiles\rehh7ft5.default-release\minidumps\BTModemProtection.exe\"" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /CREATE /F /SC MINUTE /MO 33 /TN "Broadcom Wireless Manager UI" /TR "\"%CommonProgramFiles%\Microsoft Shared\ink\tr-TR\bcmntray.exe\"" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /CREATE /F /SC MINUTE /MO 21 /TN "Media Manager Indexer" /TR "\"%APPDATA%\Mozilla\Extensions\AIRSVCU.EXE\"" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /CREATE /F /SC ONLOGON /TN "CacheMgr" /TR "\"%ProgramFiles%\Microsoft Office\Office14\Groove\Sounds\Places\CacheMgr.exe\"" (со скрытым окном)
- '<SYSTEM32>\netsh.exe' firewall set opmode mode=DISABLE (со скрытым окном)
