Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath '%TEMP%\8j48an3fbg'"
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\8j48an3fbg\payload1.exe
- %TEMP%\8j48an3fbg\payload2.exe
- %TEMP%\7zs8f555bcd\assets\backicon.png
- %TEMP%\7zs8f555bcd\assets\change.png
- %TEMP%\7zs8f555bcd\assets\change_click.png
- %TEMP%\7zs8f555bcd\assets\change_hover.png
- %TEMP%\7zs8f555bcd\assets\checked_gray.png
- %TEMP%\7zs8f555bcd\assets\checked_gray_hover.png
- %TEMP%\7zs8f555bcd\assets\close_red.png
- %TEMP%\7zs8f555bcd\assets\close_red_click.png
- %TEMP%\7zs8f555bcd\assets\close_red_hover.png
- %TEMP%\7zs8f555bcd\assets\custom.png
- %TEMP%\7zs8f555bcd\assets\custom_click.png
- %TEMP%\7zs8f555bcd\assets\custom_hover.png
- %TEMP%\7zs8f555bcd\assets\discord_icon.png
- %TEMP%\7zs8f555bcd\assets\discord_icon_click.png
- %TEMP%\7zs8f555bcd\assets\discord_icon_hover.png
- %TEMP%\7zs8f555bcd\assets\error_icon.png
- %TEMP%\7zs8f555bcd\assets\error_icon_72.png
- %TEMP%\7zs8f555bcd\assets\exit_close.png
- %TEMP%\7zs8f555bcd\assets\exit_close_click.png
- %TEMP%\7zs8f555bcd\assets\exit_close_hover.png
- %TEMP%\7zs8f555bcd\assets\folder.png
- %TEMP%\7zs8f555bcd\assets\help_icon.png
- %TEMP%\7zs8f555bcd\assets\info_icon.png
- %TEMP%\7zs8f555bcd\assets\installer_bg.jpg
- %TEMP%\7zs8f555bcd\assets\installer_logo.png
- %TEMP%\7zs8f555bcd\assets\installer_minimize.png
- %TEMP%\7zs8f555bcd\assets\installer_minimize_click.png
- %TEMP%\7zs8f555bcd\assets\installer_minimize_hover.png
- %TEMP%\7zs8f555bcd\assets\installer_upgrade_image_bg.jpg
- %TEMP%\7zs8f555bcd\assets\link.png
- %TEMP%\7zs8f555bcd\assets\loader.png
- %TEMP%\7zs8f555bcd\assets\logo_text.png
- %TEMP%\7zs8f555bcd\assets\minimize_progress.png
- %TEMP%\7zs8f555bcd\assets\minimize_progress_click.png
- %TEMP%\7zs8f555bcd\assets\minimize_progress_hover.png
- %TEMP%\7zs8f555bcd\assets\powered_by_bs.png
- %TEMP%\7zs8f555bcd\assets\setpath.png
- %TEMP%\7zs8f555bcd\assets\setpath_click.png
- %TEMP%\7zs8f555bcd\assets\setpath_hover.png
- %TEMP%\7zs8f555bcd\assets\unchecked_gray.png
- %TEMP%\7zs8f555bcd\assets\unchecked_gray_hover.png
- %TEMP%\7zs8f555bcd\bluestacksinstaller.exe.config
- %TEMP%\7zs8f555bcd\locales\i18n.ar-eg.txt
- %TEMP%\7zs8f555bcd\locales\i18n.ar-il.txt
- %TEMP%\7zs8f555bcd\locales\i18n.de-de.txt
- %TEMP%\7zs8f555bcd\locales\i18n.en-us.txt
- %TEMP%\7zs8f555bcd\locales\i18n.es-es.txt
- %TEMP%\7zs8f555bcd\locales\i18n.fr-fr.txt
- %TEMP%\7zs8f555bcd\locales\i18n.id-id.txt
- %TEMP%\7zs8f555bcd\locales\i18n.it-it.txt
- %TEMP%\7zs8f555bcd\locales\i18n.ja-jp.txt
- %TEMP%\7zs8f555bcd\locales\i18n.ko-kr.txt
- %TEMP%\7zs8f555bcd\locales\i18n.pl-pl.txt
- %TEMP%\7zs8f555bcd\locales\i18n.pt-br.txt
- %TEMP%\7zs8f555bcd\locales\i18n.ru-ru.txt
- %TEMP%\7zs8f555bcd\locales\i18n.th-th.txt
- %TEMP%\7zs8f555bcd\locales\i18n.tr-tr.txt
- %TEMP%\7zs8f555bcd\locales\i18n.vi-vn.txt
- %TEMP%\7zs8f555bcd\locales\i18n.zh-cn.txt
- %TEMP%\7zs8f555bcd\locales\i18n.zh-tw.txt
- %TEMP%\7zs8f555bcd\themefile
- %TEMP%\7zs8f555bcd\bluestacksinstaller.exe
- %TEMP%\7zs8f555bcd\hd-checkcpu.exe
- %TEMP%\7zs8f555bcd\json.dll
- %TEMP%\7zs8e6dfabd\assets\backicon.png
- %TEMP%\7zs8e6dfabd\assets\change.png
- %TEMP%\7zs8e6dfabd\assets\change_click.png
- %TEMP%\7zs8e6dfabd\assets\change_hover.png
- %TEMP%\7zs8e6dfabd\assets\checked_gray.png
- %TEMP%\7zs8e6dfabd\assets\checked_gray_hover.png
- %TEMP%\7zs8e6dfabd\assets\close_red.png
- %TEMP%\7zs8e6dfabd\assets\close_red_click.png
- %TEMP%\7zs8e6dfabd\assets\close_red_hover.png
- %TEMP%\7zs8e6dfabd\assets\custom.png
- %TEMP%\7zs8e6dfabd\assets\custom_click.png
- %TEMP%\7zs8e6dfabd\assets\custom_hover.png
- %TEMP%\7zs8e6dfabd\assets\discord_icon.png
- %TEMP%\7zs8e6dfabd\assets\discord_icon_click.png
- %TEMP%\7zs8e6dfabd\assets\discord_icon_hover.png
- %TEMP%\7zs8e6dfabd\assets\error_icon.png
- %TEMP%\7zs8e6dfabd\assets\error_icon_72.png
- %TEMP%\7zs8e6dfabd\assets\exit_close.png
- %TEMP%\7zs8e6dfabd\assets\exit_close_click.png
- %TEMP%\7zs8e6dfabd\assets\exit_close_hover.png
- %TEMP%\7zs8e6dfabd\assets\folder.png
- %TEMP%\7zs8e6dfabd\assets\help_icon.png
- %TEMP%\7zs8e6dfabd\assets\info_icon.png
- %TEMP%\7zs8e6dfabd\assets\installer_bg.jpg
- %TEMP%\7zs8e6dfabd\assets\installer_logo.png
- %TEMP%\7zs8e6dfabd\assets\installer_minimize.png
- %TEMP%\7zs8e6dfabd\assets\installer_minimize_click.png
- %TEMP%\7zs8e6dfabd\assets\installer_minimize_hover.png
- %TEMP%\7zs8e6dfabd\assets\installer_upgrade_image_bg.jpg
- %TEMP%\7zs8e6dfabd\assets\link.png
- %TEMP%\7zs8e6dfabd\assets\loader.png
- %TEMP%\7zs8e6dfabd\assets\logo_text.png
- %TEMP%\7zs8e6dfabd\assets\minimize_progress.png
- %TEMP%\7zs8e6dfabd\assets\minimize_progress_click.png
- %TEMP%\7zs8e6dfabd\assets\minimize_progress_hover.png
- %TEMP%\7zs8e6dfabd\assets\powered_by_bs.png
- %TEMP%\7zs8e6dfabd\assets\setpath.png
- %TEMP%\7zs8e6dfabd\assets\setpath_click.png
- %TEMP%\7zs8e6dfabd\assets\setpath_hover.png
- %TEMP%\7zs8e6dfabd\assets\unchecked_gray.png
- %TEMP%\7zs8e6dfabd\assets\unchecked_gray_hover.png
- %TEMP%\7zs8e6dfabd\bluestacksinstaller.exe.config
- %TEMP%\7zs8e6dfabd\locales\i18n.ar-eg.txt
- %TEMP%\7zs8e6dfabd\locales\i18n.ar-il.txt
- %TEMP%\7zs8e6dfabd\locales\i18n.de-de.txt
- %TEMP%\7zs8e6dfabd\locales\i18n.en-us.txt
- %TEMP%\7zs8e6dfabd\locales\i18n.es-es.txt
- %TEMP%\7zs8e6dfabd\locales\i18n.fr-fr.txt
- %TEMP%\7zs8e6dfabd\locales\i18n.id-id.txt
- %TEMP%\7zs8e6dfabd\locales\i18n.it-it.txt
- %TEMP%\7zs8e6dfabd\locales\i18n.ja-jp.txt
- %TEMP%\7zs8e6dfabd\locales\i18n.ko-kr.txt
- %TEMP%\7zs8e6dfabd\locales\i18n.pl-pl.txt
- %TEMP%\7zs8e6dfabd\locales\i18n.pt-br.txt
- %TEMP%\7zs8e6dfabd\locales\i18n.ru-ru.txt
- %TEMP%\7zs8e6dfabd\locales\i18n.th-th.txt
- %TEMP%\7zs8e6dfabd\locales\i18n.tr-tr.txt
- %TEMP%\7zs8e6dfabd\locales\i18n.vi-vn.txt
- %TEMP%\7zs8e6dfabd\locales\i18n.zh-cn.txt
- %TEMP%\7zs8e6dfabd\locales\i18n.zh-tw.txt
- %TEMP%\7zs8e6dfabd\themefile
- %TEMP%\7zs8e6dfabd\bluestacksinstaller.exe
- %TEMP%\7zs8e6dfabd\hd-checkcpu.exe
- %TEMP%\7zs8e6dfabd\json.dll
- %LOCALAPPDATA%\bluestacks\logs.log
- %LOCALAPPDATA%\bluestacks\bluestacksmicroinstaller_5.22.110.1027.log
Сетевая активность
Подключается к
- 'ap#.##legram.org':443
- 'cl###.#luestacks.com':443
- 'cl#######-cdn.bluestacks.com':443
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?f2##############
Другие
- 'ap#.##legram.org':443
- 'cl###.#luestacks.com':443
- 'cl#######-cdn.bluestacks.com':443
UDP
- DNS ASK ap#.##legram.org
- DNS ASK cl###.#luestacks.com
- DNS ASK cl#######-cdn.bluestacks.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: 'BlueStacks Installer'
Создает и запускает на исполнение
- '%TEMP%\8j48an3fbg\payload1.exe'
- '%TEMP%\8j48an3fbg\payload2.exe'
- '%TEMP%\7zs8f555bcd\bluestacksinstaller.exe'
- '%TEMP%\7zs8e6dfabd\bluestacksinstaller.exe'
- '%TEMP%\7zs8f555bcd\hd-checkcpu.exe' --cmd checkHypervEnabled
- '%TEMP%\7zs8e6dfabd\hd-checkcpu.exe' --cmd checkHypervEnabled
Запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath '%TEMP%\8j48an3fbg'" (со скрытым окном)
