Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\totally_legit.exe
Вредоносные функции
Запускает большое число процессов
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\__psscriptpolicytest_oy0ks1z5.5g2.ps1
- %TEMP%\__psscriptpolicytest_w0ugn1vb.jj5.psm1
- %TEMP%\30l5eaj2\30l5eaj2.0.cs
- %TEMP%\30l5eaj2\30l5eaj2.cmdline
- %TEMP%\30l5eaj2\30l5eaj2.out
- %TEMP%\30l5eaj2\csc57eac2fba08749269080b64949371e1.tmp
- %TEMP%\res7059.tmp
- %TEMP%\30l5eaj2\30l5eaj2.dll
- %HOMEPATH%\desktop\definitely_not_a_virus.exe
- %HOMEPATH%\desktop\windows_update.exe
- %TEMP%\svchost_real.exe
- %TEMP%\important_system_file.exe
- %TEMP%\__psscriptpolicytest_ebi4ropg.nmt.ps1
- %TEMP%\__psscriptpolicytest_e2m4n2jb.0wg.psm1
- %TEMP%\__psscriptpolicytest_0kkhsryq.o0h.ps1
- %TEMP%\__psscriptpolicytest_vwwsa5rn.21a.psm1
- %TEMP%\helper_service.ps1
- %TEMP%\__psscriptpolicytest_c2rkpsng.rp1.ps1
- %TEMP%\__psscriptpolicytest_aqfmka30.1a1.psm1
- %TEMP%\__psscriptpolicytest_trlkbtrx.n50.ps1
- %TEMP%\__psscriptpolicytest_e25ltdek.4jz.psm1
- %TEMP%\__psscriptpolicytest_y00b4fbo.cil.ps1
- %TEMP%\__psscriptpolicytest_43tm4gu5.clz.psm1
- %TEMP%\sjbjorso\sjbjorso.0.cs
- %TEMP%\sjbjorso\sjbjorso.cmdline
- %TEMP%\sjbjorso\sjbjorso.out
- %TEMP%\xpt0fwv0\xpt0fwv0.0.cs
- %TEMP%\xpt0fwv0\xpt0fwv0.cmdline
- %TEMP%\xpt0fwv0\xpt0fwv0.out
- %TEMP%\x1o1uy30\x1o1uy30.0.cs
- %TEMP%\x1o1uy30\x1o1uy30.cmdline
- %TEMP%\x1o1uy30\x1o1uy30.out
- %TEMP%\edtthn2o\edtthn2o.0.cs
- %TEMP%\edtthn2o\edtthn2o.cmdline
- %TEMP%\edtthn2o\edtthn2o.out
- %TEMP%\a3bnvvvr\a3bnvvvr.0.cs
- %TEMP%\a3bnvvvr\a3bnvvvr.cmdline
- %TEMP%\a3bnvvvr\a3bnvvvr.out
- %TEMP%\sjbjorso\csc6d2448d4e6fa4bec89f7cf511ecc790.tmp
- %TEMP%\xpt0fwv0\cscab18afb37dc04777a87631eb9dee5b34.tmp
- %TEMP%\res93fe.tmp
- %TEMP%\res949a.tmp
- %TEMP%\sjbjorso\sjbjorso.dll
- %TEMP%\xpt0fwv0\xpt0fwv0.dll
- %TEMP%\x1o1uy30\csc915f893742e246bdbcb7e5df28c17d8a.tmp
- %TEMP%\resa0b0.tmp
- %TEMP%\edtthn2o\csc95824be1b20f4599be511659664cd98.tmp
- %TEMP%\x1o1uy30\x1o1uy30.dll
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab4607c-15c4.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab4607c-c98.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab4607c-ea0.pma
- %TEMP%\a3bnvvvr\csccc9a251f72de4679906fe732971fae2f.tmp
- %TEMP%\resa44a.tmp
- %TEMP%\edtthn2o\edtthn2o.dll
- %TEMP%\resa709.tmp
- %TEMP%\a3bnvvvr\a3bnvvvr.dll
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab4607e-1414.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab46081-16c8.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab46084-cd4.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab46087-8d4.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab46089-1504.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab4608b-9b4.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab46091-65c.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab46093-dac.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab46094-1310.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab46094-8e8.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460a9-1bcc.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460b1-414.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460b1-a8c.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460b2-b18.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460b6-5c0.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460b9-1884.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460bc-1f60.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460bc-1de8.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460bc-ed8.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460bc-1f6c.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460bc-1a20.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460bc-1d00.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460bd-1404.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460bd-900.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460bd-19ac.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460bd-1e08.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460be-1b1c.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460be-1bb8.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460bd-1988.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460be-a44.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460be-10a4.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460be-1e78.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460be-1cd8.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460bf-1cd0.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460bf-1a0c.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460c0-1260.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460c1-16ac.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460c0-13a8.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460d3-23b0.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460d3-2580.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460d3-2398.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460da-29c4.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460e8-2b28.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460e8-2b68.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460e9-2b0c.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460e9-2bb0.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460e9-25f0.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460ea-19f8.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460eb-990.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460ec-1fec.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460ec-1cc0.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460ec-1698.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460f1-2844.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460f1-2bb8.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460f2-da0.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460f2-2758.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460f3-1cc4.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460f4-2bc.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460f4-2acc.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460f4-169c.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460f5-17bc.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460f8-2994.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460f8-22f8.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460f9-24a4.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460fb-1234.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460fb-2c18.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460fb-2c88.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460fc-2c90.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460fc-2d6c.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab460fc-2d38.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab46104-2e7c.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab46109-2f1c.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab46109-2e70.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab4610b-2f40.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab46110-3204.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab46111-30e0.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab46111-3250.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab46113-3070.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab46114-32d4.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab46119-35e0.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab4611a-3274.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab4611c-3750.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab4611d-3774.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab4611d-3718.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab4611e-375c.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab4611e-3710.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab4611e-3a88.pma
Удаляет файлы, которые сам же создал
- %TEMP%\__psscriptpolicytest_oy0ks1z5.5g2.ps1
- %TEMP%\__psscriptpolicytest_w0ugn1vb.jj5.psm1
- %TEMP%\res7059.tmp
- %TEMP%\30l5eaj2\csc57eac2fba08749269080b64949371e1.tmp
- %TEMP%\30l5eaj2\30l5eaj2.out
- %TEMP%\30l5eaj2\30l5eaj2.0.cs
- %TEMP%\30l5eaj2\30l5eaj2.dll
- %TEMP%\30l5eaj2\30l5eaj2.cmdline
- %TEMP%\__psscriptpolicytest_ebi4ropg.nmt.ps1
- %TEMP%\__psscriptpolicytest_e2m4n2jb.0wg.psm1
- %TEMP%\__psscriptpolicytest_0kkhsryq.o0h.ps1
- %TEMP%\__psscriptpolicytest_vwwsa5rn.21a.psm1
- %TEMP%\__psscriptpolicytest_c2rkpsng.rp1.ps1
- %TEMP%\__psscriptpolicytest_aqfmka30.1a1.psm1
- %TEMP%\__psscriptpolicytest_trlkbtrx.n50.ps1
- %TEMP%\__psscriptpolicytest_e25ltdek.4jz.psm1
- %TEMP%\__psscriptpolicytest_y00b4fbo.cil.ps1
- %TEMP%\__psscriptpolicytest_43tm4gu5.clz.psm1
- %TEMP%\res93fe.tmp
- %TEMP%\res949a.tmp
- %TEMP%\xpt0fwv0\cscab18afb37dc04777a87631eb9dee5b34.tmp
- %TEMP%\sjbjorso\csc6d2448d4e6fa4bec89f7cf511ecc790.tmp
- %TEMP%\xpt0fwv0\xpt0fwv0.out
- %TEMP%\xpt0fwv0\xpt0fwv0.0.cs
- %TEMP%\xpt0fwv0\xpt0fwv0.cmdline
- %TEMP%\xpt0fwv0\xpt0fwv0.dll
- %TEMP%\sjbjorso\sjbjorso.0.cs
- %TEMP%\sjbjorso\sjbjorso.out
- %TEMP%\sjbjorso\sjbjorso.dll
- %TEMP%\sjbjorso\sjbjorso.cmdline
- %TEMP%\resa0b0.tmp
- %TEMP%\x1o1uy30\csc915f893742e246bdbcb7e5df28c17d8a.tmp
- %TEMP%\x1o1uy30\x1o1uy30.0.cs
- %TEMP%\x1o1uy30\x1o1uy30.out
- %TEMP%\x1o1uy30\x1o1uy30.cmdline
- %TEMP%\x1o1uy30\x1o1uy30.dll
- %TEMP%\resa44a.tmp
- %TEMP%\edtthn2o\csc95824be1b20f4599be511659664cd98.tmp
- %TEMP%\resa709.tmp
- %TEMP%\a3bnvvvr\csccc9a251f72de4679906fe732971fae2f.tmp
- %TEMP%\edtthn2o\edtthn2o.out
- %TEMP%\edtthn2o\edtthn2o.0.cs
- %TEMP%\edtthn2o\edtthn2o.cmdline
- %TEMP%\edtthn2o\edtthn2o.dll
- %TEMP%\a3bnvvvr\a3bnvvvr.out
- %TEMP%\a3bnvvvr\a3bnvvvr.cmdline
- %TEMP%\a3bnvvvr\a3bnvvvr.dll
- %TEMP%\a3bnvvvr\a3bnvvvr.0.cs
Изменяет следующие файлы
- %LOCALAPPDATA%\microsoft\edge\user data\last version
Сетевая активность
UDP
- DNS ASK mo#####.map.fastly.net
Другое
Ищет следующие окна
- ClassName: 'Chrome_MessageWindow' WindowName: '%LOCALAPPDATA%\Microsoft\Edge\User Data'
Создает и запускает на исполнение
- '%HOMEPATH%\desktop\definitely_not_a_virus.exe'
- '%HOMEPATH%\desktop\windows_update.exe'
- '%TEMP%\svchost_real.exe'
- '%TEMP%\important_system_file.exe'
- '%APPDATA%\microsoft\windows\start menu\programs\startup\totally_legit.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -WindowStyle Hidden -File "%TEMP%\helper_service.ps1"
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\30l5eaj2\30l5eaj2.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7059.tmp" "%TEMP%\30l5eaj2\CSC57EAC2FBA08749269080B64949371E1.TMP" (со скрытым окном)
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --single-argument https://www.google.com/
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\sjbjorso\sjbjorso.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\xpt0fwv0\xpt0fwv0.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\x1o1uy30\x1o1uy30.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\edtthn2o\edtthn2o.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\a3bnvvvr\a3bnvvvr.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES93FE.tmp" "%TEMP%\sjbjorso\CSC6D2448D4E6FA4BEC89F7CF511ECC790.TMP" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES949A.tmp" "%TEMP%\xpt0fwv0\CSCAB18AFB37DC04777A87631EB9DEE5B34.TMP" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA0B0.tmp" "%TEMP%\x1o1uy30\CSC915F893742E246BDBCB7E5DF28C17D8A.TMP" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA44A.tmp" "%TEMP%\edtthn2o\CSC95824BE1B20F4599BE511659664CD98.TMP" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA709.tmp" "%TEMP%\a3bnvvvr\CSCCC9A251F72DE4679906FE732971FAE2F.TMP" (со скрытым окном)
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --flag-switches-begin --flag-switches-end --do-not-de-elevate https://www.google.com/ (со скрытым окном)
- '%HOMEPATH%\desktop\definitely_not_a_virus.exe' (со скрытым окном)
- '%HOMEPATH%\desktop\windows_update.exe' (со скрытым окном)
- '%TEMP%\svchost_real.exe' (со скрытым окном)
- '%TEMP%\important_system_file.exe' (со скрытым окном)
- '%APPDATA%\microsoft\windows\start menu\programs\startup\totally_legit.exe' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -WindowStyle Hidden -File "%TEMP%\helper_service.ps1" (со скрытым окном)
