Техническая информация
Вредоносные функции
Патчит код
в динамической библиотеке NTDLL
- Процесс myrzkxxw.exe, модуль ntdll.dll
Перехватывает управление с помощью отладочных регистров
в динамической библиотеке
- Процесс myrzkxxw.exe, модуль unknown
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsi504f.tmp
- %HOMEPATH%\serisitet\automatcafbxerne\kuglelejerne
- %HOMEPATH%\serisitet\automatcafbxerne\antidetonating.res
- %HOMEPATH%\serisitet\automatcafbxerne\bestemmelsesstedernes\objectization
- %HOMEPATH%\serisitet\automatcafbxerne\bestemmelsesstedernes\blodunderlbnes.txt
- %HOMEPATH%\serisitet\automatcafbxerne\bestemmelsesstedernes\indissoluble222.txt
- %HOMEPATH%\serisitet\automatcafbxerne\bestemmelsesstedernes\bjergstammes.ini
- %HOMEPATH%\serisitet\automatcafbxerne\bestemmelsesstedernes\cracked.fet
- %HOMEPATH%\serisitet\automatcafbxerne\raketskjoldsplanerne89\gallinuline.alu
- %HOMEPATH%\serisitet\automatcafbxerne\raketskjoldsplanerne89\grut.ini
- %HOMEPATH%\serisitet\automatcafbxerne\raketskjoldsplanerne89\heartblock.sug
- %HOMEPATH%\serisitet\automatcafbxerne\raketskjoldsplanerne89\hematinic.jpg
- %HOMEPATH%\serisitet\automatcafbxerne\raketskjoldsplanerne89\thoracoscopy\hideling.ini
- %HOMEPATH%\serisitet\automatcafbxerne\raketskjoldsplanerne89\thoracoscopy\kontrolkortets.txt
- %HOMEPATH%\serisitet\automatcafbxerne\raketskjoldsplanerne89\thoracoscopy\lyricising.txt
- %HOMEPATH%\serisitet\automatcafbxerne\raketskjoldsplanerne89\thoracoscopy\afviserblinket\rekalkulerede.txt
- %HOMEPATH%\serisitet\automatcafbxerne\raketskjoldsplanerne89\thoracoscopy\afviserblinket\shahernes.jpg
- %TEMP%\nsa56c8.tmp\system.dll
Сетевая активность
Подключается к
- 'drive.google.com':443
- '19#.#32.210.172':80
- 'drive.usercontent.google.com':443
- 'ch####p.dyndns.org':80
- 're####freegeoip.org':443
- 'ap#.##legram.org':443
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?28##############
Другие
- 'drive.google.com':443
- 'drive.usercontent.google.com':443
- 're####freegeoip.org':443
- 'ap#.##legram.org':443
UDP
- DNS ASK drive.google.com
- DNS ASK drive.usercontent.google.com
- DNS ASK ch####p.dyndns.org
- DNS ASK re####freegeoip.org
- DNS ASK ap#.##legram.org
Другое
Ищет следующие окна
- ClassName: '#32770' WindowName: ''
Перезапускает анализируемый образец
