Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run] 'xtlnxgtggxpdg' = '<SYSTEM32>\regsvr32.exe /s "%TEMP%\nsu2CA6.tmp.dll"'
- [HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run] 'xtlnxgtggxpdg' = '<SYSTEM32>\regsvr32.exe /s "<SYSTEM32>\ihncojtwmkpuj.dll"'
Вредоносные функции
Изменяет следующие настройки браузера Windows Internet Explorer
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '2500' = '00000003'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rsvps.exe
- %TEMP%\sys.exe
- %TEMP%\setup.exe
- %TEMP%\nsr237e.tmp\system.dll
- %TEMP%\nsg22f1.tmp
- %TEMP%\nsr241b.tmp\uac.dll
- %TEMP%\nsr241b.tmp\system.dll
- %TEMP%\nsr241b.tmp\math.dll
- %TEMP%\nsu2ca6.tmp.dll
- %WINDIR%\syswow64\kfohxplcfgzrqpyl.exe
- %WINDIR%\syswow64\86b5ec21.dll
- %TEMP%\tcl303e.tmp
- %TEMP%\tcl30ad.tmp
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\999656
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\999303
- %TEMP%\twapi-2.0a7.dll
- %TEMP%\tcl3532.tmp
- %TEMP%\bitrock_installer.log
- %TEMP%\nsr241b.tmp\nsp38ec.tmp
- %WINDIR%\syswow64\5e054724.exe
- %TEMP%\tcl3cb5.tmp
- %TEMP%\tcl3d13.tmp
- %TEMP%\tcl3d43.tmp
- %TEMP%\tcl3d83.tmp
- %TEMP%\tcl3db3.tmp
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-69ba2237-d28.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-69ba223b-10dc.pma
- %LOCALAPPDATA%\microsoft\edge\user data\default\heavy_ad_intervention_opt_out.db-journal
- %LOCALAPPDATA%\microsoft\edge\user data\default\heavy_ad_intervention_opt_out.db
- %LOCALAPPDATA%\microsoft\edge\user data\default\data_reduction_proxy_leveldb\manifest-000001
- %LOCALAPPDATA%\microsoft\edge\user data\default\data_reduction_proxy_leveldb\000001.dbtmp
- %LOCALAPPDATA%\microsoft\edge\user data\default\previews_opt_out.db-journal
- %LOCALAPPDATA%\microsoft\edge\user data\default\previews_opt_out.db
- %LOCALAPPDATA%\microsoft\edge\user data\default\data_reduction_proxy_leveldb\manifest-000002
- %LOCALAPPDATA%\microsoft\edge\user data\default\data_reduction_proxy_leveldb\000002.dbtmp
- %LOCALAPPDATA%\microsoft\edge\user data\default\data_reduction_proxy_leveldb\log
- %LOCALAPPDATA%\microsoft\edge\user data\last browser
- %LOCALAPPDATA%\microsoft\edge\user data\default\preferredapps
- %LOCALAPPDATA%\microsoft\edge\user data\default\budgetdatabase\manifest-000001
- %LOCALAPPDATA%\microsoft\edge\user data\default\budgetdatabase\000001.dbtmp
- %LOCALAPPDATA%\microsoft\edge\user data\default\budgetdatabase\log
Удаляет файлы, которые сам же создал
- %TEMP%\tcl303e.tmp
- %TEMP%\tcl30ad.tmp
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\999656
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\999303
- %TEMP%\tcl3532.tmp
- %TEMP%\tcl3cb5.tmp
- %TEMP%\tcl3d13.tmp
- %TEMP%\tcl3d43.tmp
- %TEMP%\tcl3d83.tmp
- %TEMP%\tcl3db3.tmp
- %TEMP%\nsr237e.tmp\system.dll
- %TEMP%\nsr241b.tmp\math.dll
- %TEMP%\nsr241b.tmp\nsp38ec.tmp
- %TEMP%\nsr241b.tmp\system.dll
- %TEMP%\nsr241b.tmp\uac.dll
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-69ba2237-d28.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-69ba223b-10dc.pma
- %LOCALAPPDATA%\microsoft\edge\user data\default\data_reduction_proxy_leveldb\manifest-000001
Перемещает следующие файлы
- %TEMP%\nsu2ca6.tmp.dll в %WINDIR%\syswow64\ihncojtwmkpuj.dll
- %LOCALAPPDATA%\microsoft\edge\user data\default\data_reduction_proxy_leveldb\000001.dbtmp в %LOCALAPPDATA%\microsoft\edge\user data\default\data_reduction_proxy_leveldb\current
- %LOCALAPPDATA%\microsoft\edge\user data\default\budgetdatabase\000001.dbtmp в %LOCALAPPDATA%\microsoft\edge\user data\default\budgetdatabase\current
Изменяет следующие файлы
- %LOCALAPPDATA%\microsoft\edge\user data\last version
- %LOCALAPPDATA%\microsoft\edge\user data\default\site characteristics database\log
- %LOCALAPPDATA%\microsoft\edge\user data\default\sync data\leveldb\log
- %LOCALAPPDATA%\microsoft\edge\user data\default\sync data\leveldb\000003.log
- %LOCALAPPDATA%\microsoft\tokenbroker\cache\9cd93bc6dcf544bae69531052e64647ec02f2bb4.tbres
Подменяет следующие файлы
- %LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Platform Notifications\LOG
- %LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Local Storage\leveldb\LOG
Сетевая активность
UDP
- DNS ASK cr#####eadnetwork.net
- DNS ASK yo####msolution.biz
- DNS ASK cx.#####iveadnetwork.net
- DNS ASK fi#####.###tings.services.mozilla.com
Другое
Ищет следующие окна
- ClassName: 'Chrome_MessageWindow' WindowName: '%LOCALAPPDATA%\Microsoft\Edge\User Data'
Создает и запускает на исполнение
- '%TEMP%\rsvps.exe'
- '%TEMP%\sys.exe'
- '%TEMP%\setup.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\regsvr32.exe' /s "<SYSTEM32>\ihncojtwmkpuj.dll"
- '%ProgramFiles(x86)%\internet explorer\ielowutil.exe' -CLSID:{0002DF01-0000-0000-C000-000000000046} -Embedding
- '%ProgramFiles%\internet explorer\iexplore.exe' -Embedding
- '%ProgramFiles(x86)%\microsoft\edge\application\89.0.774.68\bho\ie_to_edge_stub.exe' --from-ie-to-edge=3 --ie-frame-hwnd=202c2
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --from-ie-to-edge=3 --ie-frame-hwnd=202c2
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --from-ie-to-edge=3 --ie-frame-hwnd=202c2 --flag-switches-begin --flag-switches-end --do-not-de-elevate (со скрытым окном)
