Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'ctfmon.exe' = '%ProgramFiles%\rundll32.exe C:\PROGRA~3\6z4nilo.dat,FG00'
Создает или изменяет следующие файлы
- %APPDATA%\Microsoft\windows\Start Menu\programs\startup\msconfig.lnk
Вредоносные функции
Изменяет следующие настройки браузера Windows Internet Explorer
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '1609' = '00000000'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1609' = '00000000'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1609' = '00000000'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1609' = '00000000'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1609' = '00000000'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '2500' = '00000003'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '2500' = '00000003'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '2500' = '00000003'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '2500' = '00000003'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '2500' = '00000003'
Изменения в файловой системе
Создает следующие файлы
- %ProgramFiles%\rundll32.exe
- %ProgramFiles%\6z4nilo.dat
- %ProgramFiles%\olin4z6.pad
- %ProgramFiles%\olin4z6.js
- %ProgramFiles%\olin4z6.bat
- %ProgramFiles%\olin4z6.reg
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-690daf1a-d80.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-690daf1e-e98.pma
Изменяет следующие файлы
- %LOCALAPPDATA%\microsoft\edge\user data\last version
Сетевая активность
Подключается к
- '66.##7.217.85':80
- '66.##7.215.165':80
Другое
Ищет следующие окна
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
- ClassName: 'Chrome_MessageWindow' WindowName: '%LOCALAPPDATA%\Microsoft\Edge\User Data'
Создает и запускает на исполнение
- '%ProgramFiles%\rundll32.exe' C:\PROGRA~3\6z4nilo.dat,FG00
- '%ProgramFiles%\rundll32.exe' C:\PROGRA~3\6z4nilo.dat,FG01
- '%ProgramFiles%\rundll32.exe' C:\PROGRA~3\6z4nilo.dat,FG02
- '%ProgramFiles%\rundll32.exe' C:\PROGRA~3\6z4nilo.dat,FG03
- '%ProgramFiles%\rundll32.exe' C:\PROGRA~3\6z4nilo.dat,FG04
- '%ProgramFiles%\rundll32.exe' C:\PROGRA~3\6z4nilo.dat,FG06
Запускает на исполнение
- '%ProgramFiles%\internet explorer\iexplore.exe'
- '%ProgramFiles(x86)%\microsoft\edge\application\89.0.774.68\bho\ie_to_edge_stub.exe' --from-ie-to-edge=3 --ie-frame-hwnd=801c6
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --from-ie-to-edge=3 --ie-frame-hwnd=801c6
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --from-ie-to-edge=3 --ie-frame-hwnd=801c6 --flag-switches-begin --flag-switches-end --do-not-de-elevate (со скрытым окном)
- '%ProgramFiles%\rundll32.exe' C:\PROGRA~3\6z4nilo.dat,FG00 (со скрытым окном)
- '%ProgramFiles%\rundll32.exe' C:\PROGRA~3\6z4nilo.dat,FG01 (со скрытым окном)
- '%ProgramFiles%\rundll32.exe' C:\PROGRA~3\6z4nilo.dat,FG02 (со скрытым окном)
- '%ProgramFiles%\rundll32.exe' C:\PROGRA~3\6z4nilo.dat,FG03 (со скрытым окном)
- '%ProgramFiles%\rundll32.exe' C:\PROGRA~3\6z4nilo.dat,FG04 (со скрытым окном)
- '%ProgramFiles%\rundll32.exe' C:\PROGRA~3\6z4nilo.dat,FG06 (со скрытым окном)
