Техническая информация
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsy4449.tmp
- %TEMP%\<Имя файла>_patch-run.exe
- %TEMP%\nsl4aa2.tmp
- <Текущая директория>\bmx streets.exe
- %TEMP%\temp_cleanup.ico
- %TEMP%\tidy.bat
- %TEMP%\nsj36a9.tmp\system.dll
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-690e2e80-ba0.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-690e2e89-6fc.pma
- %LOCALAPPDATA%\microsoft\edge\user data\default\manifest-000001
- %LOCALAPPDATA%\microsoft\edge\user data\default\000001.dbtmp
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\index
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\data_0
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\data_2
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\data_3
- %LOCALAPPDATA%\microsoft\edge\user data\default\cookies-journal
- %LOCALAPPDATA%\microsoft\edge\user data\default\manifest-000002
- %LOCALAPPDATA%\microsoft\edge\user data\default\session storage\manifest-000001
- %LOCALAPPDATA%\microsoft\edge\user data\default\session storage\000001.dbtmp
- %LOCALAPPDATA%\microsoft\edge\user data\default\000002.dbtmp
- %LOCALAPPDATA%\microsoft\edge\user data\default\cookies
- %LOCALAPPDATA%\microsoft\edge\user data\default\session storage\log
- %LOCALAPPDATA%\microsoft\edge\user data\default\session storage\000003.log
- %LOCALAPPDATA%\microsoft\edge\user data\default\log
- %LOCALAPPDATA%\microsoft\edge\user data\default\shared_proto_db\metadata\manifest-000001
- %LOCALAPPDATA%\microsoft\edge\user data\default\shared_proto_db\metadata\000001.dbtmp
- %LOCALAPPDATA%\microsoft\edge\user data\default\shared_proto_db\metadata\log
- %LOCALAPPDATA%\microsoft\edge\user data\default\shared_proto_db\metadata\000003.log
- %LOCALAPPDATA%\microsoft\edge\user data\default\cache\index
- %LOCALAPPDATA%\microsoft\edge\user data\default\cache\data_0
- %LOCALAPPDATA%\microsoft\edge\user data\default\cache\data_2
- %LOCALAPPDATA%\microsoft\edge\user data\default\cache\data_3
Удаляет файлы, которые сам же создал
- %TEMP%\nsj36a9.tmp\system.dll
- %LOCALAPPDATA%\microsoft\edge\user data\default\manifest-000001
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-690e2e80-ba0.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-690e2e89-6fc.pma
Перемещает следующие файлы
- %LOCALAPPDATA%\microsoft\edge\user data\default\000001.dbtmp в %LOCALAPPDATA%\microsoft\edge\user data\default\current
- %LOCALAPPDATA%\microsoft\edge\user data\default\session storage\000001.dbtmp в %LOCALAPPDATA%\microsoft\edge\user data\default\session storage\current
- %LOCALAPPDATA%\microsoft\edge\user data\default\shared_proto_db\metadata\000001.dbtmp в %LOCALAPPDATA%\microsoft\edge\user data\default\shared_proto_db\metadata\current
Изменяет следующие файлы
- %LOCALAPPDATA%\microsoft\edge\user data\last version
- %LOCALAPPDATA%\microsoft\edge\user data\default\site characteristics database\log
- %LOCALAPPDATA%\microsoft\edge\user data\default\sync data\leveldb\log
- %LOCALAPPDATA%\microsoft\edge\user data\default\sync data\leveldb\000003.log
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data-journal
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
- %LOCALAPPDATA%\microsoft\tokenbroker\cache\9cd93bc6dcf544bae69531052e64647ec02f2bb4.tbres
Подменяет следующие файлы
- %LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Local Storage\leveldb\LOG
- %LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Platform Notifications\LOG
Сетевая активность
Подключается к
- 'mo#####.map.fastly.net':443
- 'co##############e-chains.prod.autograph.services.mozaws.net':443
- 'co####.edge.skype.com':443
- 'po###roker.com':443
- 'x1.#.lencr.org':80
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Другие
- 'co####.edge.skype.com':443
- 'po###roker.com':443
UDP
- DNS ASK mo#####.map.fastly.net
- DNS ASK co##############e-chains.prod.autograph.services.mozaws.net
- DNS ASK co####.edge.skype.com
- DNS ASK po###roker.com
- DNS ASK x1.#.lencr.org
Другое
Ищет следующие окна
- ClassName: 'Chrome_MessageWindow' WindowName: '%LOCALAPPDATA%\Microsoft\Edge\User Data'
Создает и запускает на исполнение
- '%TEMP%\<Имя файла>_patch-run.exe' <Текущая директория>
- '<Текущая директория>\bmx streets.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\tidy.bat" "%TEMP%\<Имя файла>_patch-run.exe" "DefaultSearchProvider" "HKEY_LOCAL_MACHINE\SOFTWARE\\" "GPR" "CJ_2025-11" "strtSXMB-0,64" "Windows Registry Editor" "{5E56F8C6-A257-42F... (со скрытым окном)
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --single-argument https://www.pop-broker.com/?FORM=nwlcjstart&subid=GPR&bucket=strtSXMB-0,64&q=&cid={5E56F8C6-A257-42FF-B134-AA8641792A86}
- '%WINDIR%\syswow64\cmd.exe' /c powershell -Command "[cultureinfo]::CurrentCulture.DateTimeFormat.ShortDatePattern; (Get-Date).AddDays(10).ToString([cultureinfo]::CurrentCulture.DateTimeFormat.ShortDatePattern)"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command "[cultureinfo]::CurrentCulture.DateTimeFormat.ShortDatePattern; (Get-Date).AddDays(10).ToString([cultureinfo]::CurrentCulture.DateTimeFormat.ShortDatePattern)"
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --flag-switches-begin --flag-switches-end --do-not-de-elevate https://www.pop-broker.com/?FORM=nwlcjstart&subid=GPR&bucket=strtSXMB-0,64&q=&cid={5E56F8C6-A257-42FF-B134-AA8641792A86} (со скрытым окном)
- '%ProgramFiles(x86)%\microsoft\edge\application\89.0.774.68\identity_helper.exe' --type=utility --utility-sub-type=winrt_app_id.mojom.WinrtAppIdService --field-trial-handle=1860,10840727966243740690,4600178143435846837,131072 --lang=en-US --service-sandbox-type=none --mojo-...
- '%WINDIR%\syswow64\cmd.exe' /c powershell -Command "$input = '11/17/2025'; $cleaned = $input -replace '[a-zA-Z0-9]', ''; if ($cleaned.Length -gt 0) { $cleaned[0] } else { '.' }"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command "$input = '11/17/2025'; $cleaned = $input -replace '[a-zA-Z0-9]', ''; if ($cleaned.Length -gt 0) { $cleaned[0] } else { '.' }"
- '%WINDIR%\syswow64\cmd.exe' /c powershell -Command "$s = '11/17/2025'.Split('/'); $res = $s | ForEach-Object { if ($_.Length -lt 2) { '0' + $_ } else { $_ } }; $res -join '/'"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command "$s = '11/17/2025'.Split('/'); $res = $s | ForEach-Object { if ($_.Length -lt 2) { '0' + $_ } else { $_ } }; $res -join '/'"
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "GoogleUpdateWeekly" /sc daily /sd 11/17/2025 /st 00:00 /ri 60 /du 24:00 /rl highest /f /tr "regedit.exe /s \"%TEMP%\temp_cleanup.ico\" "
- '%WINDIR%\syswow64\cmd.exe' /c powershell -Command "[cultureinfo]::CurrentCulture.DateTimeFormat.ShortDatePattern; (Get-Date).AddDays(29).ToString([cultureinfo]::CurrentCulture.DateTimeFormat.ShortDatePattern)"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command "[cultureinfo]::CurrentCulture.DateTimeFormat.ShortDatePattern; (Get-Date).AddDays(29).ToString([cultureinfo]::CurrentCulture.DateTimeFormat.ShortDatePattern)"
- '%WINDIR%\syswow64\cmd.exe' /c powershell -Command "$input = '12/6/2025'; $cleaned = $input -replace '[a-zA-Z0-9]', ''; if ($cleaned.Length -gt 0) { $cleaned[0] } else { '.' }"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command "$input = '12/6/2025'; $cleaned = $input -replace '[a-zA-Z0-9]', ''; if ($cleaned.Length -gt 0) { $cleaned[0] } else { '.' }"
- '%WINDIR%\syswow64\cmd.exe' /c powershell -Command "$s = '12/6/2025'.Split('/'); $res = $s | ForEach-Object { if ($_.Length -lt 2) { '0' + $_ } else { $_ } }; $res -join '/'"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command "$s = '12/6/2025'.Split('/'); $res = $s | ForEach-Object { if ($_.Length -lt 2) { '0' + $_ } else { $_ } }; $res -join '/'"
