Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '03cfa1487a94d2b11760b77d3e3b04b3' = '"%TEMP%\chrom.exe" ..'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '03cfa1487a94d2b11760b77d3e3b04b3' = '"%TEMP%\chrom.exe" ..'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\03cfa1487a94d2b11760b77d3e3b04b3.exe
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\chrom.exe' = '%TEMP%\chrom.exe:*:Enabled:chrom.exe'
Создает и запускает на исполнение:
- '%TEMP%\nsx3.tmp\Offercast29_SGT_.exe' -b -wui
- '%TEMP%\nsx3.tmp\Offercast29_SGT_.exe' -b -wui -se -ppd 3352
- '%TEMP%\chrom.exe'
- '<SYSTEM32>\YTD.exe'
- '<SYSTEM32>\DouDou.exe'
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%TEMP%\chrom.exe" "chrom.exe" ENABLE
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\apn_pip_local\V7TB1.PNG
- %TEMP%\apn_pip_local\ORCHESTRATOR.HTML
- %TEMP%\apn_pip_local\JSON.JS
- %TEMP%\apn_pip_local\SATTB.PNG
- %TEMP%\apn_pip_local\TB.PNG
- %TEMP%\apn_pip_local\TBV7.PNG
- %TEMP%\apn_pip_local\OBJECTMODEL.JS
- %TEMP%\apn_pip_local\UI.XML
- %TEMP%\nsx3.tmp\modern-header.bmp
- %TEMP%\nsx3.tmp\nsDialogs.dll
- %TEMP%\apn_pip_local\RULES.JS
- %TEMP%\apn_pip_local\ANALYTICS.XML
- %TEMP%\apn_pip_local\SCROLLTEXT.XML
- %TEMP%\nsx3.tmp\NSISHelper.dll
- %TEMP%\chrom.exe
- %TEMP%\nsx3.tmp\NSISdl.dll
- <SYSTEM32>\DouDou.exe
- <SYSTEM32>\YTD.exe
- %TEMP%\nsm2.tmp
- %TEMP%\nsx3.tmp\inst_start
- %TEMP%\nsx3.tmp\Offercast29_SGT_.exe
- %TEMP%\nsx3.tmp\nxs.dll
- %TEMP%\apn_pip_local\LOADINGSCREEN.PNG
- %TEMP%\nsx3.tmp\System.dll
- %TEMP%\nsx3.tmp\UserInfo.dll
- %TEMP%\nsx3.tmp\getCountry
Сетевая активность:
Подключается к:
- 'localhost':1043
- 'no#####ne01.no-ip.biz':1177
- 'www.yo######ownloadersite.com':80
TCP:
Запросы HTTP GET:
- www.yo######ownloadersite.com/getcountry.html
- www.yo######ownloadersite.com/images/pixel.gif?ac#########################################################################################################
UDP:
- DNS ASK pi######s.apnpartners.com
- DNS ASK ak.######ers.apnpartners.com
- DNS ASK www.yo######ownloadersite.com
- DNS ASK no#####ne01.no-ip.biz
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
