Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'GoogleUpdate140' = '"%LOCALAPPDATA%\Google\Chrome\hcdk8w15tl\chrome140.exe" /user'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\googleupdatetask140hcdk8w15tl
Вредоносные функции
Перехватывает управление с помощью отладочных регистров
в динамической библиотеке NTDLL
- Процесс gupdt.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\google\chrome\hcdk8w15tl\google.dll
- %LOCALAPPDATA%\google\chrome\hcdk8w15tl\gupdt.exe
- %LOCALAPPDATA%\google\chrome\hcdk8w15tl\gupw.exe
- %LOCALAPPDATA%\google\chrome\hcdk8w15tl\chrome140.exe
Сетевая активность
Подключается к
- 'xm#####.nanopool.org':10343
TCP
Другие
- 'xm#####.nanopool.org':10343
UDP
- DNS ASK xm#####.nanopool.org
Другое
Создает и запускает на исполнение
- '%LOCALAPPDATA%\google\chrome\hcdk8w15tl\gupdt.exe'
- '%LOCALAPPDATA%\google\chrome\hcdk8w15tl\gupw.exe' /watchu
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\powercfg.exe' /change standby-timeout-ac 0 monitor-timeout-ac 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /change standby-timeout-dc 0 monitor-timeout-dc 0 (со скрытым окном)
- '%LOCALAPPDATA%\google\chrome\hcdk8w15tl\gupdt.exe' (со скрытым окном)
- '%LOCALAPPDATA%\google\chrome\hcdk8w15tl\gupw.exe' /watchu (со скрытым окном)
