Техническая информация
Вредоносные функции
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-3c4cn.tmp\<Имя файла>.tmp
- %TEMP%\is-0vuh0.tmp\_isetup\_setup64.tmp
- %TEMP%\is-h683p.tmp\<Имя файла>.tmp
- %TEMP%\is-rm6js.tmp\_isetup\_setup64.tmp
- %LOCALAPPDATA%\test1\is-6ilc9.tmp
- %LOCALAPPDATA%\test1\is-rokij.tmp
- %LOCALAPPDATA%\test1\application\is-513fb.tmp
- %LOCALAPPDATA%\test1\application\is-k5khd.tmp
- %LOCALAPPDATA%\test1\shortcut\is-0pimt.tmp
- %APPDATA%\microsoft\windows\start menu\programs\test1\test1.lnk
- %LOCALAPPDATA%\test1\unins000.dat
- %LOCALAPPDATA%\test1\logfile.txt
- %TEMP%\reader-64.1.0-an+fx.xpi
- %TEMP%\meta-inf\mozilla.rsa
- %TEMP%\_locales\en\messages.json
- %TEMP%\background.js
- %TEMP%\bootstrap-3.3.1-dist\dist\css\bootstrap-theme.min.css
- %TEMP%\bootstrap-3.3.1-dist\dist\css\bootstrap.min.css
- %TEMP%\bootstrap-3.3.1-dist\dist\fonts\glyphicons-halflings-regular.eot
- %TEMP%\bootstrap-3.3.1-dist\dist\fonts\glyphicons-halflings-regular.svg
- %TEMP%\bootstrap-3.3.1-dist\dist\fonts\glyphicons-halflings-regular.ttf
- %TEMP%\bootstrap-3.3.1-dist\dist\fonts\glyphicons-halflings-regular.woff
- %TEMP%\bootstrap-3.3.1-dist\dist\fonts\glyphicons-halflings-regular.woff2
- %TEMP%\bootstrap-3.3.1-dist\dist\js\bootstrap.min.js
- %TEMP%\error.html
- %TEMP%\images\icon128.png
- %TEMP%\images\icon16.png
- %TEMP%\images\icon19.png
- %TEMP%\images\icon38.png
- %TEMP%\images\icon48.png
- %TEMP%\manifest.json
- %TEMP%\reader\images\close.png
- %TEMP%\reader\images\email.png
- %TEMP%\reader\images\options.png
- %TEMP%\reader\images\print.png
- %TEMP%\reader\scripts\bulk.js
- %TEMP%\reader\scripts\jquery.min.js
- %TEMP%\reader\scripts\target.js
- %TEMP%\reader\settings.html
- %TEMP%\reader\settings.js
- %TEMP%\reader\style\css\base-blueprint.css
- %TEMP%\reader\style\css\base-none.css
- %TEMP%\reader\style\css\firefoxreader-print.css
- %TEMP%\reader\style\css\inside-frame.css
- %TEMP%\reader\style\css\outside-frame.css
- %TEMP%\scripts\content_script.js
- %TEMP%\scripts\content_script_st.js
- %TEMP%\scripts\jquery-3.2.1.min.js
- %TEMP%\meta-inf\manifest.mf
- %TEMP%\meta-inf\mozilla.sf
- %TEMP%\reader-64.1.0-an+fx\meta-inf\mozilla.rsa
- %TEMP%\reader-64.1.0-an+fx\_locales\en\messages.json
- %TEMP%\reader-64.1.0-an+fx\background.js
- %TEMP%\reader-64.1.0-an+fx\bootstrap-3.3.1-dist\dist\css\bootstrap-theme.min.css
- %TEMP%\reader-64.1.0-an+fx\bootstrap-3.3.1-dist\dist\css\bootstrap.min.css
- %TEMP%\reader-64.1.0-an+fx\bootstrap-3.3.1-dist\dist\fonts\glyphicons-halflings-regular.eot
- %TEMP%\reader-64.1.0-an+fx\bootstrap-3.3.1-dist\dist\fonts\glyphicons-halflings-regular.svg
- %TEMP%\reader-64.1.0-an+fx\bootstrap-3.3.1-dist\dist\fonts\glyphicons-halflings-regular.ttf
- %TEMP%\reader-64.1.0-an+fx\bootstrap-3.3.1-dist\dist\fonts\glyphicons-halflings-regular.woff
- %TEMP%\reader-64.1.0-an+fx\bootstrap-3.3.1-dist\dist\fonts\glyphicons-halflings-regular.woff2
- %TEMP%\reader-64.1.0-an+fx\bootstrap-3.3.1-dist\dist\js\bootstrap.min.js
- %TEMP%\reader-64.1.0-an+fx\error.html
- %TEMP%\reader-64.1.0-an+fx\images\icon128.png
- %TEMP%\reader-64.1.0-an+fx\images\icon16.png
- %TEMP%\reader-64.1.0-an+fx\images\icon19.png
- %TEMP%\reader-64.1.0-an+fx\images\icon38.png
- %TEMP%\reader-64.1.0-an+fx\images\icon48.png
- %TEMP%\reader-64.1.0-an+fx\manifest.json
- %TEMP%\reader-64.1.0-an+fx\reader\images\close.png
- %TEMP%\reader-64.1.0-an+fx\reader\images\email.png
- %TEMP%\reader-64.1.0-an+fx\reader\images\options.png
- %TEMP%\reader-64.1.0-an+fx\reader\images\print.png
- %TEMP%\reader-64.1.0-an+fx\reader\scripts\bulk.js
- %TEMP%\reader-64.1.0-an+fx\reader\scripts\jquery.min.js
- %TEMP%\reader-64.1.0-an+fx\reader\scripts\target.js
- %TEMP%\reader-64.1.0-an+fx\reader\settings.html
- %TEMP%\reader-64.1.0-an+fx\reader\settings.js
- %TEMP%\reader-64.1.0-an+fx\reader\style\css\base-blueprint.css
- %TEMP%\reader-64.1.0-an+fx\reader\style\css\base-none.css
- %TEMP%\reader-64.1.0-an+fx\reader\style\css\firefoxreader-print.css
- %TEMP%\reader-64.1.0-an+fx\reader\style\css\inside-frame.css
- %TEMP%\reader-64.1.0-an+fx\reader\style\css\outside-frame.css
- %TEMP%\reader-64.1.0-an+fx\scripts\content_script.js
- %TEMP%\reader-64.1.0-an+fx\scripts\content_script_st.js
- %TEMP%\reader-64.1.0-an+fx\scripts\jquery-3.2.1.min.js
- %TEMP%\reader-64.1.0-an+fx\meta-inf\manifest.mf
- %TEMP%\reader-64.1.0-an+fx\meta-inf\mozilla.sf
- %APPDATA%\mozilla\firefox\profiles\dnyauhh1.default-release\tmp.js
Удаляет файлы, которые сам же создал
- %TEMP%\is-0vuh0.tmp\_isetup\_setup64.tmp
- %TEMP%\is-3c4cn.tmp\<Имя файла>.tmp
- %APPDATA%\mozilla\extensions\{ec8030f7-c20a-464f-9b0e-13a3a9e97384}\{20068ab2-1901-4140-9f3c-81207d4dacc4}.xpi
- %TEMP%\is-rm6js.tmp\_isetup\_setup64.tmp
- %TEMP%\is-h683p.tmp\<Имя файла>.tmp
Перемещает следующие файлы
- %LOCALAPPDATA%\test1\is-6ilc9.tmp в %LOCALAPPDATA%\test1\unins000.exe
- %LOCALAPPDATA%\test1\is-rokij.tmp в %LOCALAPPDATA%\test1\info.txt
- %LOCALAPPDATA%\test1\application\is-513fb.tmp в %LOCALAPPDATA%\test1\application\setup.txt
- %LOCALAPPDATA%\test1\application\is-k5khd.tmp в %LOCALAPPDATA%\test1\application\silentinstaller.exe
- %LOCALAPPDATA%\test1\shortcut\is-0pimt.tmp в %LOCALAPPDATA%\test1\shortcut\logo-synatix-gmbh.ico
- %TEMP%\reader-64.1.0-an+fx.xpi в %APPDATA%\mozilla\extensions\{ec8030f7-c20a-464f-9b0e-13a3a9e97384}\reader-64.1.0-an+fx.xpi
- %APPDATA%\mozilla\extensions\{ec8030f7-c20a-464f-9b0e-13a3a9e97384}\reader-64.1.0-an+fx.xpi в %APPDATA%\mozilla\extensions\{ec8030f7-c20a-464f-9b0e-13a3a9e97384}\{20068ab2-1901-4140-9f3c-81207d4dacc4}.xpi
Подменяет следующие файлы
- %TEMP%\reader-64.1.0-an+fx.xpi
- %APPDATA%\mozilla\extensions\{ec8030f7-c20a-464f-9b0e-13a3a9e97384}\reader-64.1.0-an+fx.xpi
- %APPDATA%\mozilla\extensions\{ec8030f7-c20a-464f-9b0e-13a3a9e97384}\{20068ab2-1901-4140-9f3c-81207d4dacc4}.xpi
- %APPDATA%\Mozilla\Firefox\Profiles\dnyauhh1.default-release\prefs.js
Сетевая активность
Подключается к
- '13.##.243.251':80
- 'ap#.#pify.org':80
- 'ad####.mozilla.org':443
- 'localhost':49702
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?10##############
Запросы HTTP POST
- http://ap#.##urizon.com/api/UserAuthentication/login
- http://ap#.##urizon.com/api/InstallerDetails
Другие
- 'ad####.mozilla.org':443
UDP
- DNS ASK ap#.#pify.org
- DNS ASK ad####.mozilla.org
Другое
Ищет следующие окна
- ClassName: 'ConsoleWindowClass' WindowName: ''
- ClassName: 'Mozilla_firefox_default-release_RemoteWindow' WindowName: ''
- ClassName: 'OleMainThreadWndClass' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\is-3c4cn.tmp\<Имя файла>.tmp' /SL5="$5011C,348864,121344,<Полный путь к файлу>"
- '%TEMP%\is-h683p.tmp\<Имя файла>.tmp' /SL5="$A0054,348864,121344,<Полный путь к файлу>" /VERYSILENT
- '%LOCALAPPDATA%\test1\application\silentinstaller.exe' Test1
Перезапускает анализируемый образец
Запускает на исполнение
- '%ProgramFiles%\mozilla firefox\firefox.exe'
