Техническая информация
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%APPDATA%\webg\WebG.exe' = '%APPDATA%\webg\WebG.exe:*:Enabled:webg'
Создает и запускает на исполнение:
- '%APPDATA%\webg\WebG.exe' /Unregserver
- '%APPDATA%\webg\WebGReg.exe' -f
- '%TEMP%\is-BC3DQ.tmp\setup.tmp' /SL5="$10106,3357144,56832,%TEMP%\7zS1.tmp\setup.exe" /VERYSILENT /SUPPRESSMSGBOXES /CLOSEAPPLICATIONS
- '%TEMP%\7zS1.tmp\30Z82.exe'
- '%TEMP%\7zS1.tmp\setup.exe' /VERYSILENT /SUPPRESSMSGBOXES /CLOSEAPPLICATIONS
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="webg" dir=in protocol=ANY action=allow program="%WINDIR%\webg.exe" profile=any enable=yes
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="webg" dir=in protocol=ANY action=allow program="%APPDATA%\webg\webg.exe" profile=any enable=yes
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "<SYSTEM32>\webg\webg.exe" webg ENABLE ALL
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="webg" dir=in protocol=ANY action=allow program="<SYSTEM32>\webg.exe" profile=any enable=yes
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="webg" dir=out protocol=ANY action=allow program="<SYSTEM32>\webg.exe" profile=any enable=yes
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="webg" dir=out protocol=ANY action=allow program="%WINDIR%\webg.exe" profile=any enable=yes
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="webg" dir=out protocol=ANY action=allow program="%APPDATA%\webg\webg.exe" profile=any enable=yes
- '<SYSTEM32>\taskkill.exe' /IM chrome.exe
- '<SYSTEM32>\sc.exe' stop "WebG"
- '<SYSTEM32>\taskkill.exe' /F /IM WebG.exe
- '%WINDIR%\sleep.exe' 1
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%WINDIR%\webg\webg.exe" webg ENABLE ALL
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%APPDATA%\webg\webg.exe" webg ENABLE ALL
- '<SYSTEM32>\taskkill.exe' /F /IM chrome.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- chrome.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\webg\is-P4H7S.tmp
- %APPDATA%\webg\is-8FJC1.tmp
- %APPDATA%\webg\is-H10AE.tmp
- %APPDATA%\webg\is-0B4A8.tmp
- %APPDATA%\webg\is-8G6IT.tmp
- %APPDATA%\webg\is-1F6MD.tmp
- %APPDATA%\webg\is-T3KKP.tmp
- %APPDATA%\webg\is-L0IVO.tmp
- %APPDATA%\webg\is-DRJ0O.tmp
- %APPDATA%\webg\is-OJ3GJ.tmp
- %APPDATA%\webg\unins000.dat
- <SYSTEM32>\is-4MPLG.tmp
- %TEMP%\WebGReg.ini.log
- %TEMP%\WebGr.log
- %WINDIR%\is-BJ144.tmp
- %APPDATA%\webg\is-U9TAJ.tmp
- %APPDATA%\webg\is-JIF9N.tmp
- %APPDATA%\webg\is-0JSMS.tmp
- %APPDATA%\webg\is-HFAV3.tmp
- %APPDATA%\webg\is-G03D1.tmp
- %APPDATA%\webg\is-5NQ91.tmp
- %APPDATA%\webg\is-FMBVP.tmp
- %APPDATA%\webg\is-HDL99.tmp
- %TEMP%\is-S83QF.tmp\_isetup\_shfoldr.dll
- %TEMP%\7zS1.tmp\30Z82.exe
- %TEMP%\7zS1.tmp\proxyguard.ini
- %TEMP%\is-BC3DQ.tmp\setup.tmp
- %TEMP%\7zS1.tmp\setup.exe
- %APPDATA%\webg\is-LBNUI.tmp
- %APPDATA%\webg\is-1EVH0.tmp
- %APPDATA%\webg\is-T5SGA.tmp
- %APPDATA%\webg\is-OTCAA.tmp
- %APPDATA%\webg\is-UI6QM.tmp
- %APPDATA%\webg\is-1HBT7.tmp
- %APPDATA%\webg\is-5DD9N.tmp
- %APPDATA%\webg\is-5TVVN.tmp
- %APPDATA%\webg\is-AKMVR.tmp
- %APPDATA%\webg\is-FBHH1.tmp
Перемещает следующие файлы:
- %APPDATA%\webg\is-8FJC1.tmp в %APPDATA%\webg\WebG.exe
- %APPDATA%\webg\is-P4H7S.tmp в %APPDATA%\webg\WebG.tlb
- %APPDATA%\webg\is-0B4A8.tmp в %APPDATA%\webg\WebG64.dll
- %APPDATA%\webg\is-8G6IT.tmp в %APPDATA%\webg\WebG.dll
- %APPDATA%\webg\is-1F6MD.tmp в %APPDATA%\webg\ssl3.dll
- %APPDATA%\webg\is-DRJ0O.tmp в %APPDATA%\webg\uninstall.bat
- %APPDATA%\webg\is-L0IVO.tmp в %APPDATA%\webg\uninstall64.bat
- %APPDATA%\webg\is-H10AE.tmp в %APPDATA%\webg\WebGCert.dll
- %APPDATA%\webg\is-0JSMS.tmp в %APPDATA%\webg\WebGWFPinstaller.exe
- %WINDIR%\is-BJ144.tmp в %WINDIR%\PCProxyDLL.dll
- <SYSTEM32>\is-4MPLG.tmp в <SYSTEM32>\WebG.ini
- %APPDATA%\webg\is-HFAV3.tmp в %APPDATA%\webg\WebGReg64.exe
- %APPDATA%\webg\is-OJ3GJ.tmp в %APPDATA%\webg\webgd.ini
- %APPDATA%\webg\is-JIF9N.tmp в %APPDATA%\webg\WebGReg.exe
- %APPDATA%\webg\is-U9TAJ.tmp в %APPDATA%\webg\WebGReg.ini
- %APPDATA%\webg\is-LBNUI.tmp в %APPDATA%\webg\libnspr4.dll
- %APPDATA%\webg\is-5TVVN.tmp в %APPDATA%\webg\libplc4.dll
- %APPDATA%\webg\is-5DD9N.tmp в %APPDATA%\webg\libplds4.dll
- %APPDATA%\webg\is-FMBVP.tmp в %APPDATA%\webg\install64.bat
- %APPDATA%\webg\is-5NQ91.tmp в %APPDATA%\webg\unins000.exe
- %APPDATA%\webg\is-G03D1.tmp в %APPDATA%\webg\freebl3.dll
- %APPDATA%\webg\is-HDL99.tmp в %APPDATA%\webg\install.bat
- %APPDATA%\webg\is-FBHH1.tmp в %APPDATA%\webg\nss3.dll
- %APPDATA%\webg\is-UI6QM.tmp в %APPDATA%\webg\smime3.dll
- %APPDATA%\webg\is-OTCAA.tmp в %APPDATA%\webg\softokn3.dll
- %APPDATA%\webg\is-T3KKP.tmp в %APPDATA%\webg\sqlite3.dll
- %APPDATA%\webg\is-1EVH0.tmp в %APPDATA%\webg\PCProxy.tlb
- %APPDATA%\webg\is-AKMVR.tmp в %APPDATA%\webg\nssckbi.dll
- %APPDATA%\webg\is-1HBT7.tmp в %APPDATA%\webg\nssdbm3.dll
- %APPDATA%\webg\is-T5SGA.tmp в %APPDATA%\webg\nssutil3.dll
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
