Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Hobauhsfnoc' = '%APPDATA%\Thunderbird\Profiles\gbmwccb6.default-release\saved-telemetry-pings\KoUU\dpapimig.exe'
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Hobauhsfnoc' = '%APPDATA%\Microsoft\Spelling\3Zt1YnTszF\ProximityUxHost.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\ztgyjb
- %APPDATA%\Microsoft\windows\Start Menu\programs\startup\cikefqv.lnk
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
следующие пользовательские процессы:
- firefox.exe
Перехватывает функции
в браузерах
- Процесс firefox.exe, модуль nss3.dll
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\perfmon.exe
- <SYSTEM32>\netplwiz.exe
- <SYSTEM32>\infdefaultinstall.exe
- <SYSTEM32>\printfilterpipelinesvc.exe
- <SYSTEM32>\systempropertiesdataexecutionprevention.exe
- <SYSTEM32>\dpapimig.exe
- <SYSTEM32>\dwm.exe
- %WINDIR%\explorer.exe
- <SYSTEM32>\atbroker.exe
- <SYSTEM32>\proximityuxhost.exe
- <SYSTEM32>\dxgiadaptercache.exe
следующие пользовательские процессы:
- iexplore.exe
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\pzzgm\xmllite.dll
- %LOCALAPPDATA%\pzzgm\printfilterpipelinesvc.exe
- %APPDATA%\microsoft\systemcertificates\my\certificates\sdks1thz\xmllite.dll
- %APPDATA%\microsoft\systemcertificates\my\certificates\sdks1thz\printfilterpipelinesvc.exe
- %LOCALAPPDATA%\k6pkryrwq\dui70.dll
- %LOCALAPPDATA%\k6pkryrwq\dpapimig.exe
- %APPDATA%\thunderbird\profiles\gbmwccb6.default-release\saved-telemetry-pings\kouu\dui70.dll
- %APPDATA%\thunderbird\profiles\gbmwccb6.default-release\saved-telemetry-pings\kouu\dpapimig.exe
- %LOCALAPPDATA%\dovd\dxgi.dll
- %LOCALAPPDATA%\dovd\dwm.exe
- %APPDATA%\microsoft\windows\themes\cachedfiles\wvkwguc4qc\dxgi.dll
- %APPDATA%\microsoft\windows\themes\cachedfiles\wvkwguc4qc\dwm.exe
- %LOCALAPPDATA%\kqe7sslj\uxtheme.dll
- %LOCALAPPDATA%\kqe7sslj\atbroker.exe
- %APPDATA%\thunderbird\profiles\gbmwccb6.default-release\crashes\events\ke9\uxtheme.dll
- %APPDATA%\thunderbird\profiles\gbmwccb6.default-release\crashes\events\ke9\atbroker.exe
- %LOCALAPPDATA%\aivit\winmm.dll
- %LOCALAPPDATA%\aivit\proximityuxhost.exe
- %APPDATA%\microsoft\spelling\3zt1yntszf\winmm.dll
- %APPDATA%\microsoft\spelling\3zt1yntszf\proximityuxhost.exe
- %LOCALAPPDATA%\skcvqcyez\dxgi.dll
- %LOCALAPPDATA%\skcvqcyez\dxgiadaptercache.exe
- %APPDATA%\microsoft\network\connections\d4rsjs3k\dxgi.dll
- %APPDATA%\microsoft\network\connections\d4rsjs3k\dxgiadaptercache.exe
Изменяет следующие файлы
- %APPDATA%\microsoft\crypto\rsa\s-1-5-21-4226853953-3309226944-3078887307-1000\f58155b4b1d5a524ca0261c3ee99fb50_8cf7b530-613e-439b-a8c5-ccfc0e745400
- %LOCALAPPDATA%\packages\microsoft.windows.search_cw5n1h2txyewy\ac\microsoft\cryptneturlcache\metadata\57c8edb95df3f0ad4ee2dc2b8cfd4157
Сетевая активность
Подключается к
- 'ap#.msn.com':443
- '23.##5.2.144':80
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?a2##############
Другие
- 'ap#.msn.com':443
UDP
- DNS ASK ap#.msn.com
Другое
Ищет следующие окна
- ClassName: 'Progman' WindowName: ''
- ClassName: 'Proxy Desktop' WindowName: ''
- ClassName: 'ApplicationFrameWindow' WindowName: ''
- ClassName: 'SystemTray_Main' WindowName: ''
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: 'BluetoothNotificationAreaIconWindowClass'
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: ''
Создает и запускает на исполнение
- '%LOCALAPPDATA%\pzzgm\printfilterpipelinesvc.exe'
- '%LOCALAPPDATA%\k6pkryrwq\dpapimig.exe'
- '%LOCALAPPDATA%\dovd\dwm.exe'
- '%APPDATA%\microsoft\systemcertificates\my\certificates\sdks1thz\printfilterpipelinesvc.exe'
- '%LOCALAPPDATA%\kqe7sslj\atbroker.exe'
- '%LOCALAPPDATA%\aivit\proximityuxhost.exe'
- '%LOCALAPPDATA%\skcvqcyez\dxgiadaptercache.exe'
Запускает на исполнение
- '%WINDIR%\explorer.exe'
- '%WINDIR%\systemapps\microsoft.windows.search_cw5n1h2txyewy\searchapp.exe' -ServerName:CortanaUI.AppX8z9r6jm96hw4bsbneegw0kyxx296wr9t.mca
