Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Classes\bitping\shell\open\command] '' = '"%TEMP%\User00BEBroker.exe" "%1"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\bitping\runatstartup
Вредоносные функции
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\user00bebroker.exe
- <Текущая директория>\.bitping\credentials.json
- %TEMP%\1772mrhx.bat
- %TEMP%\etilqs_1e7i2dreakjqa84
- %TEMP%\etilqs_jqcrffnd0qcynvd
- %TEMP%\etilqs_ffd5irz9m2r6o9z
- %TEMP%\etilqs_v2cv6lsh8mc0mhj
- %TEMP%\etilqs_tepzot6dtpz71n4
- %TEMP%\etilqs_foxq1huroqqekc2
- %TEMP%\etilqs_3n2zajvc2erfff7
- %TEMP%\etilqs_wfzhxipoxcy9wqz
- %TEMP%\etilqs_nqhqzwlmfjpr6kl
- %TEMP%\etilqs_towvbgzbmznh2ne
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\1772mrhx.bat
Сетевая активность
Подключается к
- 'te###.bitping.com':443
- 'au######te.geo.opera.com':80
- 'au######te.geo.opera.com':443
- 'google.com':80
- 'se####.yahoo.com':80
- 'du###uckgo.com':443
- 'bing.com':80
- 'am##on.com':80
- 'en.###ipedia.org':80
- 'am##on.com':443
- 'se####.yahoo.com':443
- 'en.###ipedia.org':443
- 'si#####ck2.opera.com':80
- 're###.opera.com':80
- 'si#####ck2.opera.com':443
TCP
Запросы HTTP GET
- http://au######te.geo.opera.com/geolocation/
- http://www.google.com/favicon.ico
- http://www.bing.com/s/a/bing_p.ico
- http://www.am##on.com/favicon.ico
- http://se####.yahoo.com/favicon.ico
- http://en.###ipedia.org/favicon.ico
- http://si#####ck2.opera.com/?ho###################################################
- http://re###.opera.com/www.opera.com/firstrun/
Другие
- 'te###.bitping.com':443
- 'au######te.geo.opera.com':443
- 'du###uckgo.com':443
- 'am##on.com':443
- 'se####.yahoo.com':443
- 'en.###ipedia.org':443
- 'si#####ck2.opera.com':443
UDP
- DNS ASK te###.bitping.com
- DNS ASK google.com
- DNS ASK au######te.geo.opera.com
- DNS ASK se####.yahoo.com
- DNS ASK du###uckgo.com
- DNS ASK am##on.com
- DNS ASK bing.com
- DNS ASK bi##.#ikimedia.org
- DNS ASK en.###ipedia.org
- DNS ASK si#####ck2.opera.com
- DNS ASK re###.opera.com
- DNS ASK ya###.opera.com
Другое
Ищет следующие окна
- ClassName: 'Opera_MessageWindow' WindowName: '%APPDATA%\Opera Software\Opera Stable'
Создает и запускает на исполнение
- '%TEMP%\user00bebroker.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\1772MRHX.bat" "<Полный путь к файлу>" " (со скрытым окном)
- '%WINDIR%\syswow64\tasklist.exe'
- '%WINDIR%\syswow64\findstr.exe' /I "User00BEBroker.exe"
- '%WINDIR%\syswow64\attrib.exe' +s +h "%HOMEPATH%\.bitping"
- '<SYSTEM32>\rundll32.exe' url.dll,FileProtocolHandler https://app.bitping.com/login?referrer=desktop&version=0.9.830747851
- '%ProgramFiles(x86)%\opera\launcher.exe' -noautoupdate -- "https://app.bitping.com/login?referrer=desktop&version=0.9.830747851" (со скрытым окном)
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' -noautoupdate --ran-launcher -- https://app.bitping.com/login?referrer=desktop&version=0.9.830747851
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://app.bitping.com/login?referrer=desktop&version=0.9.830747851 /crash-reporter-parent-id=1656
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=gpu-process --channel="1656.0.1009073163\1132513005" --enable-proprietary-media-types-playback --supports-dual-gpus=false --gpu-driver-bug-workarounds=1,19,42 --gpu-vendor-id=0x0000 --gp...
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=renderer --alt-high-dpi-setting=96 --disable-direct-npapi-requests --enable-deferred-image-decoding --lang=en-US --enable-proprietary-media-types-playback --disable-client-side-phishing-...
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=renderer --alt-high-dpi-setting=96 --disable-direct-npapi-requests --enable-deferred-image-decoding --lang=en-US --enable-proprietary-media-types-playback --extension-process --enable-we...
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1656.4.2006480882\1993765472" --lang=en-US --no-sandbox --enable-proprietary-media-types-playback /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' --type=utility --channel="1656.4.2006480882\1993765472" --lang=en-US --no-sandbox --enable-proprietary-media-types-playback /prefetch:-645351001 /crash-reporter-parent-id=2376
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1656.5.1475094960\1174608962" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1656.6.992577881\1494433089" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1656.7.851909565\815826013" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1656.8.108777599\1392114273" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1656.9.68348420\860924601" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1656.10.29202376\2004475783" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1656.11.805850042\389693929" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1656.12.1717994054\2043783520" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1656.13.986536675\411920756" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1656.14.1753127162\426494762" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1656.17.1829384226\673782252" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1656.18.945557202\1749760231" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1656.19.906591930\1674976869" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' --type=utility --channel="1656.20.1442071447\1809898996" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
