Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM chrome.exe
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM firefox.exe
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM opera.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-6pp67.tmp\<Имя файла>.tmp
- %TEMP%\is-ane7u.tmp\_isetup\_setup64.tmp
- %TEMP%\is-9io9g.tmp\<Имя файла>.tmp
- %TEMP%\is-qbllo.tmp\_isetup\_setup64.tmp
- %APPDATA%\is-c40cv.tmp
- %TEMP%\is-qbllo.tmp\is-vciaa.tmp
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\is-tj1ba.tmp
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\is-hjvni.tmp
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\is-lavp2.tmp
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\is-m5gln.tmp
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\is-rd0f8.tmp
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\is-4j027.tmp
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\js\is-lep19.tmp
- %TEMP%\is-qbllo.tmp\is-nn4tq.tmp
- %APPDATA%\mozilla\firefox\profiles\dnyauhh1.default-release\extensions\is-ctjim.tmp
- %APPDATA%\mozilla\firefox\profiles\dnyauhh1.default-release\chrome\is-5r4qe.tmp
- %APPDATA%\mozilla\firefox\profiles\dnyauhh1.default-release\is-88atc.tmp
- %TEMP%\is-qbllo.tmp\is-1e0pb.tmp
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\is-pib7d.tmp
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\is-opop0.tmp
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\icon\is-eb394.tmp
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\icon\is-rv1j3.tmp
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\icon\is-0mi34.tmp
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\icon\is-ml9ak.tmp
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\js\is-brt49.tmp
- %APPDATA%\browsermodule\component.log
Удаляет файлы, которые сам же создал
- %TEMP%\is-ane7u.tmp\_isetup\_setup64.tmp
- %TEMP%\is-6pp67.tmp\<Имя файла>.tmp
- %APPDATA%\setup.dll
- %TEMP%\is-qbllo.tmp\chrome.txt
- %TEMP%\is-qbllo.tmp\mozilla.txt
- %TEMP%\is-qbllo.tmp\opera.txt
- %TEMP%\is-qbllo.tmp\_isetup\_setup64.tmp
- %TEMP%\is-9io9g.tmp\<Имя файла>.tmp
Перемещает следующие файлы
- %APPDATA%\is-c40cv.tmp в %APPDATA%\setup.dll
- %TEMP%\is-qbllo.tmp\is-vciaa.tmp в %TEMP%\is-qbllo.tmp\chrome.txt
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\is-tj1ba.tmp в %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\index.html
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\is-hjvni.tmp в %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\manifest.json
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\is-lavp2.tmp в %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\icon128.png
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\is-m5gln.tmp в %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\icon16.png
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\is-rd0f8.tmp в %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\icon24.png
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\is-4j027.tmp в %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\icon\icon32.png
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\js\is-lep19.tmp в %LOCALAPPDATA%\google\chrome\user data\default\extensions\fngmhnnpilhplaeedifhccceomclgfbg\78.0_0\js\background.js
- %TEMP%\is-qbllo.tmp\is-nn4tq.tmp в %TEMP%\is-qbllo.tmp\mozilla.txt
- %APPDATA%\mozilla\firefox\profiles\dnyauhh1.default-release\extensions\is-ctjim.tmp в %APPDATA%\mozilla\firefox\profiles\dnyauhh1.default-release\extensions\378507@extcorp.net.xpi
- %APPDATA%\mozilla\firefox\profiles\dnyauhh1.default-release\chrome\is-5r4qe.tmp в %APPDATA%\mozilla\firefox\profiles\dnyauhh1.default-release\chrome\usercontent.css
- %TEMP%\is-qbllo.tmp\is-1e0pb.tmp в %TEMP%\is-qbllo.tmp\opera.txt
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\is-pib7d.tmp в %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\index.html
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\is-opop0.tmp в %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\manifest.json
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\icon\is-eb394.tmp в %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\icon\icon128.png
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\icon\is-rv1j3.tmp в %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\icon\icon16.png
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\icon\is-0mi34.tmp в %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\icon\icon24.png
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\icon\is-ml9ak.tmp в %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\icon\icon32.png
- %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\js\is-brt49.tmp в %APPDATA%\opera software\opera stable\extensions\egafjhhpbipcmpoiomegbckljbbbphoj\1.1_0\js\background.js
Изменяет следующие файлы
- %LOCALAPPDATA%\google\chrome\user data\default\secure preferences
- %LOCALAPPDATA%\google\chrome\user data\default\preferences
- %APPDATA%\mozilla\firefox\profiles\dnyauhh1.default-release\extensions.json
- %APPDATA%\opera software\opera stable\preferences
Подменяет следующие файлы
- %APPDATA%\Mozilla\Firefox\Profiles\dnyauhh1.default-release\user.js
Сетевая активность
UDP
- DNS ASK gs###report.pw
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\is-6pp67.tmp\<Имя файла>.tmp' /SL5="$701BA,234193,121344,<Полный путь к файлу>"
- '%TEMP%\is-9io9g.tmp\<Имя файла>.tmp' /SL5="$170198,234193,121344,<Полный путь к файлу>" /VERYSILENT
Перезапускает анализируемый образец
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM chrome.exe (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM firefox.exe (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM opera.exe (со скрытым окном)
