Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -EncodedCommand QQBkAGQALQBNAHAAUAByAGUAZgBlAHIAZQBuAGMAZQAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUABhAHQAaAAgACcAQwA6AFwAVQBzAGUAcgBzAFwAdQBzAGUAcgBcAEEAcA...
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsq4c8b.tmp\system.dll
- %TEMP%\nsq4c8b.tmp\app-64.7z
- %TEMP%\nsq4c8b.tmp\nsis7z.dll
- %TEMP%\nsq4c8b.tmp\7z-out\chrome_100_percent.pak
- %TEMP%\nsq4c8b.tmp\7z-out\chrome_200_percent.pak
- %TEMP%\nsq4c8b.tmp\7z-out\icudtl.dat
- %TEMP%\nsq4c8b.tmp\7z-out\license.electron.txt
- %TEMP%\nsq4c8b.tmp\7z-out\licenses.chromium.html
- %TEMP%\nsq4c8b.tmp\7z-out\locales\af.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\am.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\ar.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\bg.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\bn.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\ca.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\cs.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\da.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\de.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\el.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\en-gb.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\en-us.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\es-419.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\es.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\et.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\fa.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\fi.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\fil.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\fr.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\gu.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\he.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\hi.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\hr.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\hu.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\id.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\it.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\ja.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\kn.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\ko.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\lt.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\lv.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\ml.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\mr.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\ms.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\nb.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\nl.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\pl.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\pt-br.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\pt-pt.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\ro.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\ru.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\sk.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\sl.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\sr.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\sv.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\sw.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\ta.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\te.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\th.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\tr.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\uk.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\ur.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\vi.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\zh-cn.pak
- %TEMP%\nsq4c8b.tmp\7z-out\locales\zh-tw.pak
- %TEMP%\nsq4c8b.tmp\7z-out\resources\app.asar
- %TEMP%\nsq4c8b.tmp\7z-out\resources\app.asar.unpacked\runtime1c83.dat
- %TEMP%\nsq4c8b.tmp\7z-out\resources.pak
- %TEMP%\nsq4c8b.tmp\7z-out\snapshot_blob.bin
- %TEMP%\nsq4c8b.tmp\7z-out\v8_context_snapshot.bin
- %TEMP%\nsq4c8b.tmp\7z-out\vk_swiftshader_icd.json
- %TEMP%\nsq4c8b.tmp\7z-out\d3dcompiler_47.dll
- %TEMP%\nsq4c8b.tmp\7z-out\ffmpeg.dll
- %TEMP%\nsq4c8b.tmp\7z-out\libegl.dll
- %TEMP%\nsq4c8b.tmp\7z-out\libglesv2.dll
- %TEMP%\nsq4c8b.tmp\7z-out\pcihost.exe
- %TEMP%\nsq4c8b.tmp\7z-out\resources\elevate.exe
- %TEMP%\nsq4c8b.tmp\7z-out\vk_swiftshader.dll
- %TEMP%\nsq4c8b.tmp\7z-out\vulkan-1.dll
- %TEMP%\installcache_905cbc\chrome_100_percent.pak
- %TEMP%\installcache_905cbc\chrome_200_percent.pak
- %TEMP%\installcache_905cbc\d3dcompiler_47.dll
- %TEMP%\installcache_905cbc\ffmpeg.dll
- %TEMP%\installcache_905cbc\icudtl.dat
- %TEMP%\installcache_905cbc\libegl.dll
- %TEMP%\installcache_905cbc\libglesv2.dll
- %TEMP%\installcache_905cbc\license.electron.txt
- %TEMP%\installcache_905cbc\licenses.chromium.html
- %TEMP%\installcache_905cbc\pcihost.exe
- %TEMP%\installcache_905cbc\resources.pak
- %TEMP%\installcache_905cbc\snapshot_blob.bin
- %TEMP%\installcache_905cbc\v8_context_snapshot.bin
- %TEMP%\installcache_905cbc\vk_swiftshader.dll
- %TEMP%\installcache_905cbc\vk_swiftshader_icd.json
- %TEMP%\installcache_905cbc\vulkan-1.dll
- %TEMP%\installcache_905cbc\locales\af.pak
- %TEMP%\installcache_905cbc\locales\am.pak
- %TEMP%\installcache_905cbc\locales\ar.pak
- %TEMP%\installcache_905cbc\locales\bg.pak
- %TEMP%\installcache_905cbc\locales\bn.pak
- %TEMP%\installcache_905cbc\locales\ca.pak
- %TEMP%\installcache_905cbc\locales\cs.pak
- %TEMP%\installcache_905cbc\locales\da.pak
- %TEMP%\installcache_905cbc\locales\de.pak
- %TEMP%\installcache_905cbc\locales\el.pak
- %TEMP%\installcache_905cbc\locales\en-gb.pak
- %TEMP%\installcache_905cbc\locales\en-us.pak
- %TEMP%\installcache_905cbc\locales\es-419.pak
- %TEMP%\installcache_905cbc\locales\es.pak
- %TEMP%\installcache_905cbc\locales\et.pak
- %TEMP%\installcache_905cbc\locales\fa.pak
- %TEMP%\installcache_905cbc\locales\fi.pak
- %TEMP%\installcache_905cbc\locales\fil.pak
- %TEMP%\installcache_905cbc\locales\fr.pak
- %TEMP%\installcache_905cbc\locales\gu.pak
- %TEMP%\installcache_905cbc\locales\he.pak
- %TEMP%\installcache_905cbc\locales\hi.pak
- %TEMP%\installcache_905cbc\locales\hr.pak
- %TEMP%\installcache_905cbc\locales\hu.pak
- %TEMP%\installcache_905cbc\locales\id.pak
- %TEMP%\installcache_905cbc\locales\it.pak
- %TEMP%\installcache_905cbc\locales\ja.pak
- %TEMP%\installcache_905cbc\locales\kn.pak
- %TEMP%\installcache_905cbc\locales\ko.pak
- %TEMP%\installcache_905cbc\locales\lt.pak
- %TEMP%\installcache_905cbc\locales\lv.pak
- %TEMP%\installcache_905cbc\locales\ml.pak
- %TEMP%\installcache_905cbc\locales\mr.pak
- %TEMP%\installcache_905cbc\locales\ms.pak
- %TEMP%\installcache_905cbc\locales\nb.pak
- %TEMP%\installcache_905cbc\locales\nl.pak
- %TEMP%\installcache_905cbc\locales\pl.pak
- %TEMP%\installcache_905cbc\locales\pt-br.pak
- %TEMP%\installcache_905cbc\locales\pt-pt.pak
- %TEMP%\installcache_905cbc\locales\ro.pak
- %TEMP%\installcache_905cbc\locales\ru.pak
- %TEMP%\installcache_905cbc\locales\sk.pak
- %TEMP%\installcache_905cbc\locales\sl.pak
- %TEMP%\installcache_905cbc\locales\sr.pak
- %TEMP%\installcache_905cbc\locales\sv.pak
- %TEMP%\installcache_905cbc\locales\sw.pak
- %TEMP%\installcache_905cbc\locales\ta.pak
- %TEMP%\installcache_905cbc\locales\te.pak
- %TEMP%\installcache_905cbc\locales\th.pak
- %TEMP%\installcache_905cbc\locales\tr.pak
- %TEMP%\installcache_905cbc\locales\uk.pak
- %TEMP%\installcache_905cbc\locales\ur.pak
- %TEMP%\installcache_905cbc\locales\vi.pak
- %TEMP%\installcache_905cbc\locales\zh-cn.pak
- %TEMP%\installcache_905cbc\locales\zh-tw.pak
- %TEMP%\installcache_905cbc\resources\app.asar
- %TEMP%\installcache_905cbc\resources\elevate.exe
- %TEMP%\installcache_905cbc\resources\app.asar.unpacked\runtime1c83.dat
- %TEMP%\nsq4c8b.tmp\stdutils.dll
- nul
- %TEMP%\chk_8530ff0d.tmp
- %TEMP%\chk_f07dc9e7.tmp
- %TEMP%\chk_20f8d27c.tmp
- %TEMP%\chk_c53dd453.tmp
- %TEMP%\chk_b1cef4b1.tmp
- %TEMP%\chk_c7d8e43b.tmp
- %TEMP%\chk_5daecbb9.tmp
- %TEMP%\chk_0b1678c8.tmp
- %TEMP%\chk_3a7ec740.tmp
- %TEMP%\chk_1102ed21.tmp
- %APPDATA%\pcihost\b8cbf292-9030-4518-9772-c553eda485dd.tmp
- %TEMP%\setup\store\mvbt1n4f704b\dpinst_x64.exe.tmp
- %APPDATA%\pcihost\local storage\leveldb\log
- %APPDATA%\pcihost\local storage\leveldb\manifest-000001
- %APPDATA%\pcihost\code cache\js\index
- %APPDATA%\pcihost\code cache\wasm\index
- %APPDATA%\pcihost\local storage\leveldb\000001.dbtmp
- %APPDATA%\pcihost\code cache\js\index-dir\temp-index
- %APPDATA%\pcihost\code cache\wasm\index-dir\temp-index
- %APPDATA%\pcihost\shared dictionary\cache\index
- %APPDATA%\pcihost\network\trust tokens-journal
- %APPDATA%\pcihost\cache\cache_data\index
- %APPDATA%\microsoft\spelling\en-us\default.dic
- %APPDATA%\pcihost\network\trust tokens
- %APPDATA%\pcihost\shared dictionary\db-journal
- %APPDATA%\pcihost\shared dictionary\cache\index-dir\temp-index
- %APPDATA%\microsoft\spelling\en-us\default.exc
- %APPDATA%\pcihost\shared dictionary\db
- %APPDATA%\pcihost\cache\cache_data\data_0
- %APPDATA%\pcihost\cache\cache_data\data_1
- %APPDATA%\pcihost\cache\cache_data\data_2
- %APPDATA%\microsoft\spelling\en-us\default.acl
- %APPDATA%\pcihost\cache\cache_data\data_3
- %APPDATA%\pcihost\f24280b7-5e0b-4eea-9a05-483496a18542.tmp
- %APPDATA%\pcihost\network\9a1ecba4-f831-491d-b612-154c6eecc920.tmp
- %APPDATA%\pcihost\network\0aae439a-1851-4062-82ef-691107f9161e.tmp
Удаляет файлы, которые сам же создал
- %TEMP%\chk_8530ff0d.tmp
- %TEMP%\chk_f07dc9e7.tmp
- %TEMP%\chk_20f8d27c.tmp
- %TEMP%\chk_c53dd453.tmp
- %TEMP%\chk_b1cef4b1.tmp
- %TEMP%\chk_c7d8e43b.tmp
- %TEMP%\chk_5daecbb9.tmp
- %TEMP%\chk_0b1678c8.tmp
- %TEMP%\chk_3a7ec740.tmp
- %TEMP%\chk_1102ed21.tmp
Перемещает следующие файлы
- %APPDATA%\pcihost\b8cbf292-9030-4518-9772-c553eda485dd.tmp в %APPDATA%\pcihost\local state
- %TEMP%\setup\store\mvbt1n4f704b\dpinst_x64.exe.tmp в %TEMP%\setup\store\mvbt1n4f704b\dpinst_x64.exe
- %APPDATA%\pcihost\code cache\js\index-dir\temp-index в %APPDATA%\pcihost\code cache\js\index-dir\the-real-index
- %APPDATA%\pcihost\code cache\wasm\index-dir\temp-index в %APPDATA%\pcihost\code cache\wasm\index-dir\the-real-index
- %APPDATA%\pcihost\local storage\leveldb\000001.dbtmp в %APPDATA%\pcihost\local storage\leveldb\current
- %APPDATA%\pcihost\shared dictionary\cache\index-dir\temp-index в %APPDATA%\pcihost\shared dictionary\cache\index-dir\the-real-index
- %APPDATA%\pcihost\f24280b7-5e0b-4eea-9a05-483496a18542.tmp в %APPDATA%\pcihost\preferences
- %APPDATA%\pcihost\network\9a1ecba4-f831-491d-b612-154c6eecc920.tmp в %APPDATA%\pcihost\network\network persistent state
- %APPDATA%\pcihost\network\0aae439a-1851-4062-82ef-691107f9161e.tmp в %APPDATA%\pcihost\network\transportsecurity
Сетевая активность
Подключается к
- 'ap#.#pify.org':443
- 'ip##o.is':443
- 'dn#.google':443
- 'gi##ub.com':443
- 're#########ets.githubusercontent.com':443
- 'wr###rt.pics':443
- 'x1.#.lencr.org':80
- '85.##7.252.193':3000
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Другие
- 'ap#.#pify.org':443
- 'ip##o.is':443
- 'dn#.google':443
- 'gi##ub.com':443
- 're#########ets.githubusercontent.com':443
- 'wr###rt.pics':443
UDP
- DNS ASK ap#.#pify.org
- DNS ASK ip##o.is
- DNS ASK dn#.google
- DNS ASK gi##ub.com
- DNS ASK re#########ets.githubusercontent.com
- DNS ASK wr###rt.pics
- DNS ASK x1.#.lencr.org
Другое
Ищет следующие окна
- ClassName: '#32770' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\installcache_905cbc\pcihost.exe'
- '%TEMP%\installcache_905cbc\pcihost.exe' --type=gpu-process --no-sandbox --user-data-dir="%APPDATA%\pcihost" --gpu-preferences=WAAAAAAAAADgABAMAAAAAAAAAAAAAAAAAABgAAAAAAA4AAAAAAAAAAAAAAAEAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAGAAAAAAAAAA...
- '%TEMP%\installcache_905cbc\pcihost.exe' --type=utility --utility-sub-type=network.mojom.NetworkService --lang=en-US --service-sandbox-type=none --no-sandbox --user-data-dir="%APPDATA%\pcihost" --mojo-platform-channel-handle=1632 --fi...
- '%TEMP%\setup\store\mvbt1n4f704b\dpinst_x64.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /d /s /c "ps -p 2324 -o ppid=,command=" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "net session" (со скрытым окном)
- '<SYSTEM32>\net.exe' session
- '<SYSTEM32>\net1.exe' session
- '<SYSTEM32>\conhost.exe' %TEMP%\Setup\store\mvbt1n4f704b\dpinst_x64.exe (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -EncodedCommand QQBkAGQALQBNAHAAUAByAGUAZgBlAHIAZQBuAGMAZQAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUABhAHQAaAAgACcAQwA6AFwAVQBzAGUAcgBzAFwAdQBzAGUAcgBcAEEAcA... (со скрытым окном)
- '%TEMP%\setup\store\mvbt1n4f704b\dpinst_x64.exe' (со скрытым окном)
