Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad] 'bxsbang' = '{651306E2-00BD-40E3-BE65-15C02C1400E1}'
- [HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad] 'ocgrep' = '{BCA5959E-1343-44EA-A100-16B3D82B4DE8}'
Вредоносные функции
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsx28c2.tmp
- %TEMP%\ac8zt2\nssfrch.dll
- %TEMP%\ac8zt2\bxsbang.dll
- %TEMP%\ac8zt2\edsv.exe
- %TEMP%\ac8zt2\ocgrep.dll
- %TEMP%\ac8zt2\movctrlqtn.dll
- %TEMP%\ac8zt2\kthemup.exe
- %TEMP%\ac8zt2\install.bat
- %WINDIR%\movctrlqtn.dll
- %WINDIR%\nssfrch.dll
- %WINDIR%\bxsbang.dll
- %WINDIR%\ocgrep.dll
- %WINDIR%\kthemup.exe
- %TEMP%\nso37a8.tmp\system.dll
- %TEMP%\nsi37d7.tmp.bat
Удаляет файлы, которые сам же создал
- %TEMP%\ac8zt2\bxsbang.dll
- %TEMP%\ac8zt2\edsv.exe
- %TEMP%\ac8zt2\install.bat
- %TEMP%\ac8zt2\kthemup.exe
- %TEMP%\ac8zt2\movctrlqtn.dll
- %TEMP%\ac8zt2\nssfrch.dll
- %TEMP%\ac8zt2\ocgrep.dll
- %TEMP%\nso37a8.tmp\system.dll
Изменяет следующие файлы
- %ALLUSERSPROFILE%\microsoft\windows\apprepository\staterepository-machine.srd
- %LOCALAPPDATA%\packages\microsoft.windows.search_cw5n1h2txyewy\ac\microsoft\cryptneturlcache\metadata\57c8edb95df3f0ad4ee2dc2b8cfd4157
- %LOCALAPPDATA%\packages\microsoft.windows.search_cw5n1h2txyewy\ac\microsoft\cryptneturlcache\metadata\e2c6cbaf0af08cf203ba74bf0d0ab6d5_363582827213c09529a76f35fb615187
- %LOCALAPPDATA%\packages\microsoft.windows.search_cw5n1h2txyewy\ac\microsoft\cryptneturlcache\metadata\fb0d848f74f70bb2eaa93746d24d9749
- %LOCALAPPDATA%\packages\microsoft.windows.search_cw5n1h2txyewy\ac\microsoft\cryptneturlcache\metadata\77ec63bda74bd0d0e0426dc8f8008506
- %LOCALAPPDATA%\packages\microsoft.windows.search_cw5n1h2txyewy\ac\microsoft\cryptneturlcache\content\77ec63bda74bd0d0e0426dc8f8008506
Сетевая активность
Подключается к
- 'ap#.msn.com':443
- 'mo#####.map.fastly.net':443
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?5d##############
Другие
- 'ap#.msn.com':443
UDP
- DNS ASK ap#.msn.com
- DNS ASK mo#####.map.fastly.net
Другое
Ищет следующие окна
- ClassName: 'Progman' WindowName: ''
- ClassName: 'Proxy Desktop' WindowName: ''
- ClassName: 'ApplicationFrameWindow' WindowName: ''
- ClassName: 'SystemTray_Main' WindowName: ''
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: 'BluetoothNotificationAreaIconWindowClass'
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\ac8zt2\edsv.exe' %WINDIR%\bxsbang.dll bxsbang
- '%TEMP%\ac8zt2\edsv.exe' %WINDIR%\ocgrep.dll ocgrep
- '%TEMP%\ac8zt2\kthemup.exe' reg
- '%TEMP%\ac8zt2\edsv.exe' rerso
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /Q /C "%TEMP%\ac8zt2\install.bat"
- '%WINDIR%\syswow64\regsvr32.exe' /s %WINDIR%\movctrlqtn.dll
- '%WINDIR%\syswow64\regsvr32.exe' /s nssfrch.dll
- '%WINDIR%\explorer.exe'
- '%WINDIR%\syswow64\cmd.exe' /Q /C "%TEMP%\nsi37D7.tmp.bat"
- '%WINDIR%\systemapps\microsoft.windows.search_cw5n1h2txyewy\searchapp.exe' -ServerName:CortanaUI.AppX8z9r6jm96hw4bsbneegw0kyxx296wr9t.mca
- '<SYSTEM32>\svchost.exe' -k appmodel -p -s camsvc
