Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\nscB3D5.tmp\ns1A49.tmp' "<LS_APPDATA>\Google\Chrome\Application\chrome.exe" --no-startup-window --no-service-autorun --disable-extensions --chrome-frame --user-data-dir="<LS_APPDATA>\Google\Chrome\User Data" --automation-channel=ChromeTestingInterface:0,1
- '%TEMP%\nscB3D5.tmp\Apply_LGPO_Delta_silent.exe' "%TEMP%\nscB3D5.tmp\delta.txt" /error "%TEMP%\nscB3D5.tmp\delta_error.log"
- '%TEMP%\nscB3D5.tmp\nsF0B9.tmp' "%PROGRAM_FILES%\Google\Chrome\Application\chrome.exe" --no-startup-window --no-service-autorun --disable-extensions --chrome-frame --user-data-dir="<LS_APPDATA>\Google\Chrome\User Data" --automation-channel=ChromeTestingInterface:0,1
- '%TEMP%\nscB3D5.tmp\nsB472.tmp' "<SYSTEM32>\tskill.exe" chrome
- '%TEMP%\nscB3D5.tmp\nsC2E5.tmp' "<SYSTEM32>\taskkill.exe" /f /im chrome.exe
Запускает на исполнение:
- '<SYSTEM32>\gpscript.exe' /RefreshSystemParam
- '<SYSTEM32>\tskill.exe' /pid=0x764 /log
- '<SYSTEM32>\tskill.exe' chrome
- '<SYSTEM32>\taskkill.exe' /f /im chrome.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- chrome.exe
Принудительно разрешает автозапуск со съемных носителей.
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\ntuser.pol
- <SYSTEM32>\GroupPolicy\User\Registry.pol
- %TEMP%\nscB3D5.tmp\nsJSON.dll
- %TEMP%\nscB3D5.tmp\simple_new_tab.crx
- \Device\Mup\BVNSEUHJ*\MAILSLOT\NET\NETLOGON
- <SYSTEM32>\GroupPolicy\Machine\Registry.pol
- %TEMP%\nscB3D5.tmp\System.dll
- %TEMP%\nscB3D5.tmp\chunprot.dll
- %TEMP%\nscB3D5.tmp\delta.txt
- <SYSTEM32>\GroupPolicy\gpt.ini
- %TEMP%\nscB3D5.tmp\Apply_LGPO_Delta_silent.exe
- %TEMP%\nscB3D5.tmp\chrome_preferences.json
- <LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\pmgkeimkiojpjcoiiipekfjaopchhjga\1.0.1_0\snt.html
- <LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\pmgkeimkiojpjcoiiipekfjaopchhjga\1.0.1_0\options.js
- <LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\pmgkeimkiojpjcoiiipekfjaopchhjga\1.0.1_0\snt.js
- <Служебный элемент>
- <LS_APPDATA>\Google\Chrome\User Data\Default\Local Storage\chrome-extension_pmgkeimkiojpjcoiiipekfjaopchhjga_0.localstorage
- <LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\pmgkeimkiojpjcoiiipekfjaopchhjga\1.0.1_0\options.html
- <LS_APPDATA>\Google\Chrome\User Data\Default\Secure Preferences
- <LS_APPDATA>\Google\Chrome\User Data\Default\Preferences
- %TEMP%\nscB3D5.tmp\nsisunz.dll
- <LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\pmgkeimkiojpjcoiiipekfjaopchhjga\1.0.1_0\newtab.js
- <LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\pmgkeimkiojpjcoiiipekfjaopchhjga\1.0.1_0\manifest.json
- <LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\MANIFEST-000002
- <LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\000001.dbtmp
- <LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\000002.dbtmp
- <LS_APPDATA>\Google\Chrome\User Data\Default\CBC.tmp
- <LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\LOG
- <LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\MANIFEST-000001
- %TEMP%\nscB3D5.tmp\nsExec.dll
- %TEMP%\nsxB3A6.tmp
- %TEMP%\nscB3D5.tmp\nsB472.tmp
- %TEMP%\nscB3D5.tmp\nsF0B9.tmp
- %TEMP%\nscB3D5.tmp\nsC2E5.tmp
- <LS_APPDATA>\Google\Chrome\User Data\DB7.tmp
- <LS_APPDATA>\Google\Chrome\User Data\Default\10C8.tmp
- <LS_APPDATA>\Google\Chrome\User Data\Default\Session Storage\MANIFEST-000046
- <LS_APPDATA>\Google\Chrome\User Data\Default\Session Storage\000046.dbtmp
- %TEMP%\nscB3D5.tmp\ns1A49.tmp
- <LS_APPDATA>\Google\Chrome\User Data\Default\Session Storage\000048.log
- <LS_APPDATA>\Google\Chrome\User Data\Default\FEC.tmp
- <LS_APPDATA>\Google\Chrome\User Data\Default\Session Storage\LOG
- <LS_APPDATA>\Google\Chrome\User Data\DE6.tmp
- <LS_APPDATA>\Google\Chrome\User Data\E74.tmp
- <LS_APPDATA>\Google\Chrome\User Data\Default\ED2.tmp
- <LS_APPDATA>\Google\Chrome\User Data\Default\Session Storage\000047.ldb
Удаляет следующие файлы:
- %TEMP%\nscB3D5.tmp\chrome_preferences.json
- %TEMP%\nscB3D5.tmp\chunprot.dll
- %TEMP%\nscB3D5.tmp\Apply_LGPO_Delta_silent.exe
- %TEMP%\nscB3D5.tmp\nsF0B9.tmp
- %TEMP%\nscB3D5.tmp\ns1A49.tmp
- %TEMP%\nscB3D5.tmp\delta.txt
- %TEMP%\nscB3D5.tmp\simple_new_tab.crx
- %TEMP%\nscB3D5.tmp\System.dll
- %TEMP%\nscB3D5.tmp\nsJSON.dll
- %TEMP%\nscB3D5.tmp\nsExec.dll
- %TEMP%\nscB3D5.tmp\nsisunz.dll
- <LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\MANIFEST-000001
- <LS_APPDATA>\Google\Chrome\User Data\Default\CBC.tmp
- <LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\CURRENT~RF607dc.TMP
- %TEMP%\nscB3D5.tmp\nsB472.tmp
- %TEMP%\nscB3D5.tmp\nsC2E5.tmp
- <LS_APPDATA>\Google\Chrome\User Data\Local State~RF60e61.TMP
- <LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\MANIFEST-000002
- <LS_APPDATA>\Google\Chrome\User Data\Default\Preferences~RF6115e.TMP
- <LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\LOG
- <LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\CURRENT
- <LS_APPDATA>\Google\Chrome\User Data\Local State~RF60ebf.TMP
Перемещает следующие файлы:
- <LS_APPDATA>\Google\Chrome\User Data\Default\FEC.tmp в <LS_APPDATA>\Google\Chrome\User Data\Default\TransportSecurity
- <LS_APPDATA>\Google\Chrome\User Data\Default\ED2.tmp в <LS_APPDATA>\Google\Chrome\User Data\Default\Preferences
- <LS_APPDATA>\Google\Chrome\User Data\Local State в <LS_APPDATA>\Google\Chrome\User Data\Local State~RF60ebf.TMP
- <LS_APPDATA>\Google\Chrome\User Data\Default\Preferences в <LS_APPDATA>\Google\Chrome\User Data\Default\Preferences~RF6115e.TMP
- <LS_APPDATA>\Google\Chrome\User Data\Default\10C8.tmp в <LS_APPDATA>\Google\Chrome\User Data\Default\Preferences
- <LS_APPDATA>\Google\Chrome\User Data\Default\Session Storage\000046.dbtmp в <LS_APPDATA>\Google\Chrome\User Data\Default\Session Storage\CURRENT
- <LS_APPDATA>\Google\Chrome\User Data\E74.tmp в <LS_APPDATA>\Google\Chrome\User Data\Local State
- <LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\CURRENT в <LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\CURRENT~RF607dc.TMP
- <LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\000002.dbtmp в <LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\CURRENT
- <LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\000001.dbtmp в <LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\CURRENT
- <LS_APPDATA>\Google\Chrome\User Data\Local State в <LS_APPDATA>\Google\Chrome\User Data\Local State~RF60e61.TMP
- <LS_APPDATA>\Google\Chrome\User Data\DE6.tmp в <LS_APPDATA>\Google\Chrome\User Data\Local State
- <LS_APPDATA>\Google\Chrome\User Data\DB7.tmp в <LS_APPDATA>\Google\Chrome\User Data\Local State
Сетевая активность:
UDP:
- DNS ASK www.go#####analytics.com
- DNS ASK dn#.##ftncsi.com
- DNS ASK d2#######clgz3.cloudfront.net
- DNS ASK ru#####tic.pingdom.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Chrome_MessageWindow' WindowName: '<LS_APPDATA>\Google\Chrome\User Data'
- ClassName: '' WindowName: ''
