Техническая информация
Вредоносные функции
Запускает на исполнение
- '%ProgramFiles%\internet explorer\iexplore.exe' http://new.egooad.com/DirectLink.aspx?placeId=1199
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\kw648zz0\dnserrordiagoff[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\4vesykfu\newerrorpagetemplate[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\3k35y4gt\errorpagestrings[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\et92inly\httperrorpagesscripts[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\kw648zz0\navcancl[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\4vesykfu\errorpagetemplate[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\3k35y4gt\errorpagestrings[2]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\3k35y4gt\httperrorpagesscripts[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\et92inly\info_48[1]
- %LOCALAPPDATA%\microsoft\internet explorer\msimgsiz.dat
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\et92inly\background_gradient[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\kw648zz0\bullet[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\4vesykfu\dnserrordiagoff[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\kw648zz0\newerrorpagetemplate[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\4vesykfu\errorpagestrings[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\3k35y4gt\httperrorpagesscripts[2]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\3k35y4gt\navcancl[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\kw648zz0\errorpagetemplate[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\4vesykfu\errorpagestrings[2]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\4vesykfu\httperrorpagesscripts[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\3k35y4gt\info_48[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\et92inly\bullet[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\kw648zz0\background_gradient[1]
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-699ff33c-248.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-699ff340-11fc.pma
Удаляет файлы, которые сам же создал
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\3k35y4gt\errorpagestrings[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\et92inly\httperrorpagesscripts[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\kw648zz0\dnserrordiagoff[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\4vesykfu\newerrorpagetemplate[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\3k35y4gt\errorpagestrings[2]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\3k35y4gt\httperrorpagesscripts[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\kw648zz0\navcancl[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\4vesykfu\errorpagetemplate[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\4vesykfu\errorpagestrings[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\3k35y4gt\httperrorpagesscripts[2]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\et92inly\info_48[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\kw648zz0\bullet[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\et92inly\background_gradient[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\kw648zz0\newerrorpagetemplate[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\4vesykfu\errorpagestrings[2]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\4vesykfu\httperrorpagesscripts[1]
Изменяет следующие файлы
- %LOCALAPPDATA%\microsoft\edge\user data\last version
- %LOCALAPPDATA%\microsoft\edge\user data\default\sync data\leveldb\log
- %LOCALAPPDATA%\microsoft\edge\user data\default\sync data\leveldb\000003.log
- %LOCALAPPDATA%\microsoft\edge\user data\default\site characteristics database\log
- %LOCALAPPDATA%\microsoft\tokenbroker\cache\9cd93bc6dcf544bae69531052e64647ec02f2bb4.tbres
Подменяет следующие файлы
- %LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Platform Notifications\LOG
- %LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Local Storage\leveldb\LOG
Сетевая активность
UDP
- DNS ASK nf##.2680.com
- DNS ASK bk.#680.com
- DNS ASK ne#.#gooad.com
- DNS ASK co####.edge.skype.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: 'ÆßÆßÈËÆøÍõ>>ÆßÆß¿Õ¼ä³öÆ·'
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
- ClassName: 'Chrome_MessageWindow' WindowName: '%LOCALAPPDATA%\Microsoft\Edge\User Data'
Запускает на исполнение
- '%ProgramFiles(x86)%\microsoft\edge\application\89.0.774.68\bho\ie_to_edge_stub.exe' --from-ie-to-edge=3 --ie-frame-hwnd=801cc
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --from-ie-to-edge=3 --ie-frame-hwnd=801cc
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --from-ie-to-edge=3 --ie-frame-hwnd=801cc --flag-switches-begin --flag-switches-end --do-not-de-elevate (со скрытым окном)
