Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\firefox default browser agent 47aa058ffe4dacb0
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath "%LOCALAPPDATA%\Temp"
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im chrome.exe
- '%WINDIR%\syswow64\taskkill.exe' /im "62991dd525aa8_e385f3.exe" /f
Внедряет код в
следующие пользовательские процессы:
- 62991dd45ece5_4c339c0.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %APPDATA%\mozilla\firefox\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsdf7ee.tmp
- %TEMP%\setup_installer.exe
- %TEMP%\7zs40589b2e\62991dca9e089_a7c6a202.exe
- %TEMP%\7zs40589b2e\62991dcb615f7_8ee4a5c4.exe
- %TEMP%\7zs40589b2e\62991dcc2c346_7e5791cd.exe
- %TEMP%\7zs40589b2e\62991dd0c995a_32880cda5.exe
- %TEMP%\7zs40589b2e\62991dd1f3f9a_1d1ebb8034.exe
- %TEMP%\7zs40589b2e\62991dd35fd3d_d6db566d09.exe
- %TEMP%\7zs40589b2e\62991dd45ece5_4c339c0.exe
- %TEMP%\7zs40589b2e\62991dd525aa8_e385f3.exe
- %TEMP%\7zs40589b2e\62991dd630a1e_1db0ead082.exe
- %TEMP%\7zs40589b2e\62991dd6dbd24_dbebba77a7.exe
- %TEMP%\7zs40589b2e\62991dd862434_95cb3c.exe
- %TEMP%\7zs40589b2e\libgcc_s_dw2-1.dll
- %TEMP%\7zs40589b2e\libstdc++-6.dll
- %TEMP%\7zs40589b2e\libwinpthread-1.dll
- %TEMP%\7zs40589b2e\setup_install.exe
- %TEMP%\is-s1ts9.tmp\62991dd630a1e_1db0ead082.tmp
- %TEMP%\is-ie3i7.tmp\_isetup\_setup64.tmp
- %TEMP%\is-ie3i7.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-ie3i7.tmp\idp.dll
- %TEMP%\0gqta5ai.w
- %ProgramFiles%\aieoplapobidheellikiicjfpamacpfd\background.html
- %ProgramFiles%\aieoplapobidheellikiicjfpamacpfd\icon.png
- %ProgramFiles%\aieoplapobidheellikiicjfpamacpfd\js\aes.js
- %ProgramFiles%\aieoplapobidheellikiicjfpamacpfd\js\background.js
- %ProgramFiles%\aieoplapobidheellikiicjfpamacpfd\js\content.js
- %ProgramFiles%\aieoplapobidheellikiicjfpamacpfd\js\jquery-3.3.1.min.js
- %ProgramFiles%\aieoplapobidheellikiicjfpamacpfd\js\mode-ecb.js
- %ProgramFiles%\aieoplapobidheellikiicjfpamacpfd\js\pad-nopadding.js
- %ProgramFiles%\aieoplapobidheellikiicjfpamacpfd\manifest.json
- %APPDATA%\cgswitj
- %TEMP%\965796.dat
- %TEMP%\965859.dat
- %TEMP%\965890.dat
- %TEMP%\cookies.sqlite
- %TEMP%\cookies.sqlite-shm
- %TEMP%\etilqs_hhwwv6c6vria8y4
- %TEMP%\etilqs_frok9gn4clhff5e
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\cgswitj
Удаляет файлы, которые сам же создал
- %TEMP%\7zs40589b2e\62991dca9e089_a7c6a202.exe
- %TEMP%\7zs40589b2e\62991dcb615f7_8ee4a5c4.exe
- %TEMP%\is-ie3i7.tmp\idp.dll
- %TEMP%\is-ie3i7.tmp\_isetup\_setup64.tmp
- %TEMP%\is-ie3i7.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-s1ts9.tmp\62991dd630a1e_1db0ead082.tmp
- %TEMP%\7zs40589b2e\62991dd525aa8_e385f3.exe
- %TEMP%\7zs40589b2e\62991dcc2c346_7e5791cd.exe
- %TEMP%\965859.dat
- %TEMP%\cookies.sqlite-shm
- %TEMP%\cookies.sqlite
Изменяет следующие файлы
- %LOCALAPPDATA%\google\chrome\user data\default\secure preferences
Сетевая активность
Подключается к
- '37.#.8.39':80
UDP
- DNS ASK ic##eps.com
- DNS ASK na####.#3.pl-waw.scw.cloud
- DNS ASK ip##pi.com
- DNS ASK v.###gamev.com
- DNS ASK al###ride.com
- DNS ASK ip###ger.org
- DNS ASK sa####.#3.pl-waw.scw.cloud
- DNS ASK google.com
- DNS ASK clients4.google.com
- DNS ASK tr######e.googleapis.com
- DNS ASK clients3.google.com
- DNS ASK clients2.google.com
Другое
Ищет следующие окна
- ClassName: 'ConsoleWindowClass' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Chrome_MessageWindow' WindowName: '%LOCALAPPDATA%\Google\Chrome\User Data'
Создает и запускает на исполнение
- '%TEMP%\setup_installer.exe'
- '%TEMP%\7zs40589b2e\setup_install.exe'
- '%TEMP%\7zs40589b2e\62991dd1f3f9a_1d1ebb8034.exe' /mixtwo
- '%TEMP%\7zs40589b2e\62991dcc2c346_7e5791cd.exe'
- '%TEMP%\7zs40589b2e\62991dd525aa8_e385f3.exe'
- '%TEMP%\7zs40589b2e\62991dd45ece5_4c339c0.exe'
- '%TEMP%\7zs40589b2e\62991dd35fd3d_d6db566d09.exe'
- '%TEMP%\7zs40589b2e\62991dd630a1e_1db0ead082.exe'
- '%TEMP%\7zs40589b2e\62991dd862434_95cb3c.exe'
- '%TEMP%\7zs40589b2e\62991dd6dbd24_dbebba77a7.exe'
- '%TEMP%\7zs40589b2e\62991dd0c995a_32880cda5.exe'
- '%TEMP%\is-s1ts9.tmp\62991dd630a1e_1db0ead082.tmp' /SL5="$C0134,506127,422400,%TEMP%\7zS40589B2E\62991dd630a1e_1db0ead082.exe"
- '%APPDATA%\cgswitj'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c powershell -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath "%LOCALAPPDATA%\Temp"
- '%WINDIR%\syswow64\cmd.exe' /c 62991dca9e089_a7c6a202.exe
- '%WINDIR%\syswow64\cmd.exe' /c 62991dcb615f7_8ee4a5c4.exe
- '%WINDIR%\syswow64\cmd.exe' /c 62991dcc2c346_7e5791cd.exe
- '%WINDIR%\syswow64\cmd.exe' /c 62991dd0c995a_32880cda5.exe
- '%WINDIR%\syswow64\cmd.exe' /c 62991dd1f3f9a_1d1ebb8034.exe /mixtwo
- '%WINDIR%\syswow64\cmd.exe' /c 62991dd35fd3d_d6db566d09.exe
- '%WINDIR%\syswow64\cmd.exe' /c 62991dd45ece5_4c339c0.exe
- '%WINDIR%\syswow64\cmd.exe' /c 62991dd525aa8_e385f3.exe
- '%WINDIR%\syswow64\cmd.exe' /c 62991dd630a1e_1db0ead082.exe
- '%WINDIR%\syswow64\cmd.exe' /c 62991dd6dbd24_dbebba77a7.exe
- '%WINDIR%\syswow64\cmd.exe' /c 62991dd862434_95cb3c.exe
- '%WINDIR%\syswow64\regsvr32.exe' -S .\0GQTa5AI.W -u
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im chrome.exe (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im "62991dd525aa8_e385f3.exe" /f & erase "%TEMP%\7zS40589B2E\62991dd525aa8_e385f3.exe" & exit (со скрытым окном)
