Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\Webview Helper] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\Webview Helper] 'ImagePath' = 'cmd /c cd /d "C:\Users\Public\Videos\iBjJQNjP\" && start "" "C:\Users\Public\Videos\iBjJQNjP\IiXI0YKp.exe"'
Создает следующие сервисы
- 'Webview Helper' cmd /c cd /d "C:\Users\Public\Videos\iBjJQNjP\" && start "" "C:\Users\Public\Videos\iBjJQNjP\IiXI0YKp.exe"
Вредоносные функции
Патчит код
в динамической библиотеке NTDLL
- Процесс app.exe, модуль ntdll.dll
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\snaz6wnrgouptoji\readme.md
- %ALLUSERSPROFILE%\snaz6wnrgouptoji\install.exe
- %ALLUSERSPROFILE%\snaz6wnrgouptoji\app.exe._
- %ALLUSERSPROFILE%\snaz6wnrgouptoji\app.exe
- %ALLUSERSPROFILE%\snaz6wnrgouptoji\view.dat
- %ALLUSERSPROFILE%\snaz6wnrgouptoji\web.dat
- %ALLUSERSPROFILE%\snaz6wnrgouptoji\view.conf
- %TEMP%\nsb8dda.tmp\system.dll
- %TEMP%\nsb8dda.tmp\res.zip
- %TEMP%\nsb8dda.tmp\shell_downloader.dll
- %TEMP%\nsb8dda.tmp\downloader_nsis_plugin.dll
- %TEMP%\installer_downloader.log
- %TEMP%\nsb8dda.tmp\bgworker.dll
- C:\users\public\videos\uhrijtxs
- C:\users\public\videos\ibjjqnjp\readme.md
- C:\users\public\videos\ibjjqnjp\view.conf
- %ALLUSERSPROFILE%\view.conf
- C:\users\public\videos\ibjjqnjp\124.exe
- C:\users\public\videos\ibjjqnjp\faq.md
- C:\users\public\videos\ibjjqnjp\libcef.dll
- C:\users\public\videos\ibjjqnjp\license.md
- %WINDIR%\temp\~pp8c6.tmp
- %WINDIR%\temp\~ppa0e.tmp
Удаляет файлы, которые сам же создал
- C:\users\public\videos\uhrijtxs
- %ALLUSERSPROFILE%\snaz6wnrgouptoji\app.exe._
- %ALLUSERSPROFILE%\snaz6wnrgouptoji\view.dat
- %ALLUSERSPROFILE%\snaz6wnrgouptoji\web.dat
- %ALLUSERSPROFILE%\snaz6wnrgouptoji\readme.md
- %ALLUSERSPROFILE%\snaz6wnrgouptoji\view.conf
- %WINDIR%\temp\~pp8c6.tmp
- %WINDIR%\temp\~ppa0e.tmp
Перемещает следующие файлы
- C:\users\public\videos\ibjjqnjp\124.exe в C:\users\public\videos\ibjjqnjp\iixi0ykp.exe
- %ALLUSERSPROFILE%\snaz6wnrgouptoji\app.exe в \:dsl
Сетевая активность
Подключается к
- 'localhost':49694
- 'localhost':49695
- 'localhost':49698
- 'localhost':49700
- 'localhost':49703
- 'localhost':49705
- 'localhost':49707
- 'localhost':49708
- 'localhost':49711
- 'localhost':49713
- 'localhost':49714
- 'localhost':49717
- 'localhost':49720
- 'localhost':49719
- '20#.56.30.7':30508
- 'localhost':49725
- 'localhost':49727
- 'localhost':49728
- 'localhost':49731
- 'localhost':49733
- 'localhost':49734
- 'localhost':49737
- 'localhost':49739
- 'localhost':49740
- 'localhost':49743
- 'localhost':49745
- 'localhost':49746
- 'localhost':49750
- 'localhost':49752
- 'localhost':49753
- 'localhost':49756
- 'localhost':49758
- 'localhost':49760
- 'localhost':49762
- 'localhost':49764
- 'localhost':49766
- 'localhost':49770
- 'localhost':49772
- 'localhost':49773
- 'localhost':49776
- 'localhost':49778
- 'localhost':49779
- 'localhost':49782
- 'localhost':49784
- 'localhost':49785
- 'localhost':49788
- 'localhost':49790
- 'localhost':49791
TCP
Другие
- 'localhost':49696
- 'localhost':49697
- 'localhost':49699
- 'localhost':49704
- 'localhost':49701
- 'localhost':49706
- 'localhost':49709
- 'localhost':49710
- 'localhost':49712
- 'localhost':49715
- 'localhost':49716
- 'localhost':49718
- 'localhost':49722
- 'localhost':49721
- 'localhost':49726
- 'localhost':49729
- 'localhost':49730
- 'localhost':49732
- 'localhost':49735
- 'localhost':49736
- 'localhost':49738
- 'localhost':49741
- 'localhost':49742
- 'localhost':49744
- 'localhost':49747
- 'localhost':49748
- 'localhost':49751
- 'localhost':49754
- 'localhost':49755
- 'localhost':49757
- 'localhost':49759
- 'localhost':49761
- 'localhost':49763
- 'localhost':49767
- 'localhost':49768
- 'localhost':49771
- 'localhost':49774
- 'localhost':49775
- 'localhost':49777
- 'localhost':49780
- 'localhost':49781
- 'localhost':49783
- 'localhost':49786
- 'localhost':49787
- 'localhost':49789
- 'localhost':49792
UDP
- DNS ASK mc#.##jieapi.com
- DNS ASK lv####.ulikecam.com
Другое
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\snaz6wnrgouptoji\app.exe'
- '%ALLUSERSPROFILE%\snaz6wnrgouptoji\install.exe'
- 'C:\users\public\videos\ibjjqnjp\iixi0ykp.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c cd /d "C:\Users\Public\Videos\iBjJQNjP\" && start "" "C:\Users\Public\Videos\iBjJQNjP\IiXI0YKp.exe"
