Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\services\BITS] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\BKYFLB.tmp\QOXV73zI53DnbUi.exe' target ".\" bits downExt
- '%TEMP%\7zSEF4D.tmp\QOXV73zI53DnbUi.exe'
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' /u /s ".\\gTF9hCmxdKLSKs.x64.dll"
Завершает или пытается завершить
следующие пользовательские процессы:
- iexplore.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\BKYFLB.tmp\gTF9hCmxdKLSKs.dll
- %TEMP%\BKYFLB.tmp\gTF9hCmxdKLSKs.tlb
- %TEMP%\BKYFLB.tmp\gTF9hCmxdKLSKs.x64.dll
- %TEMP%\BKYFLB.tmp\gofmengcdcbigddhbgdlifdnfcaaihjk\manifest.json
- %TEMP%\BKYFLB.tmp\gofmengcdcbigddhbgdlifdnfcaaihjk\background.html
- %TEMP%\BKYFLB.tmp\gofmengcdcbigddhbgdlifdnfcaaihjk\content.js
- %TEMP%\BKYFLB.tmp\gofmengcdcbigddhbgdlifdnfcaaihjk\lsdb.js
- %TEMP%\BKYFLB.tmp\vm6@00aioB.org\content\bg.js
- %TEMP%\BKYFLB.tmp\vm6@00aioB.org\install.rdf
- %APPDATA%\Roaming\Microsoft\Protect\S-1-5-21-2832440558-3064306045-1455513625-1000\5dc94c65-dec0-4cfb-8d2e-a968e025fcfd
- %TEMP%\BKYFLB.tmp\vm6@00aioB.org\chrome.manifest
- %TEMP%\BKYFLB.tmp\QOXV73zI53DnbUi.dat
- %TEMP%\BKYFLB.tmp\QOXV73zI53DnbUi.exe
- %TEMP%\BKYFLB.tmp\vm6@00aioB.org\bootstrap.js
- %TEMP%\BKYFLB.tmp\gofmengcdcbigddhbgdlifdnfcaaihjk\AEOLig.js
- %TEMP%\7zSEF4D.tmp\vm6@00aioB.org\bootstrap.js
- %TEMP%\7zSEF4D.tmp\gofmengcdcbigddhbgdlifdnfcaaihjk\content.js
- %TEMP%\7zSEF4D.tmp\gofmengcdcbigddhbgdlifdnfcaaihjk\lsdb.js
- %TEMP%\7zSEF4D.tmp\vm6@00aioB.org\content\bg.js
- %TEMP%\7zSEF4D.tmp\vm6@00aioB.org\chrome.manifest
- %TEMP%\7zSEF4D.tmp\gofmengcdcbigddhbgdlifdnfcaaihjk\background.html
- %TEMP%\7zSEF4D.tmp\gofmengcdcbigddhbgdlifdnfcaaihjk\AEOLig.js
- %TEMP%\7zSEF4D.tmp\QOXV73zI53DnbUi.dat
- %TEMP%\7zSEF4D.tmp\gofmengcdcbigddhbgdlifdnfcaaihjk\manifest.json
- %TEMP%\7zSEF4D.tmp\vm6@00aioB.org\install.rdf
- %TEMP%\7zSEF4D.tmp\gTF9hCmxdKLSKs.tlb
- %TEMP%\7zSEF4D.tmp\QOXV73zI53DnbUi.exe
- %TEMP%\7zSEF4D.tmp\gTF9hCmxdKLSKs.dll
- %TEMP%\7zSEF4D.tmp\gTF9hCmxdKLSKs.x64.dll
Удаляет следующие файлы:
- %TEMP%\BKYFLB.tmp\gTF9hCmxdKLSKs.tlb
- %TEMP%\BKYFLB.tmp\gofmengcdcbigddhbgdlifdnfcaaihjk\AEOLig.js
- %TEMP%\BKYFLB.tmp\gofmengcdcbigddhbgdlifdnfcaaihjk\background.html
- %TEMP%\BKYFLB.tmp\gTF9hCmxdKLSKs.x64.dll
- %TEMP%\7zSEF4D.tmp\vm6@00aioB.org\content\bg.js
- %TEMP%\7zSEF4D.tmp\vm6@00aioB.org\install.rdf
- %TEMP%\BKYFLB.tmp\gTF9hCmxdKLSKs.dll
- %TEMP%\BKYFLB.tmp\vm6@00aioB.org\chrome.manifest
- %TEMP%\BKYFLB.tmp\vm6@00aioB.org\content\bg.js
- %TEMP%\BKYFLB.tmp\vm6@00aioB.org\install.rdf
- %TEMP%\BKYFLB.tmp\vm6@00aioB.org\bootstrap.js
- %TEMP%\BKYFLB.tmp\gofmengcdcbigddhbgdlifdnfcaaihjk\content.js
- %TEMP%\BKYFLB.tmp\gofmengcdcbigddhbgdlifdnfcaaihjk\lsdb.js
- %TEMP%\BKYFLB.tmp\gofmengcdcbigddhbgdlifdnfcaaihjk\manifest.json
- %TEMP%\7zSEF4D.tmp\gofmengcdcbigddhbgdlifdnfcaaihjk\content.js
- %TEMP%\7zSEF4D.tmp\gofmengcdcbigddhbgdlifdnfcaaihjk\lsdb.js
- %TEMP%\7zSEF4D.tmp\gofmengcdcbigddhbgdlifdnfcaaihjk\manifest.json
- %TEMP%\7zSEF4D.tmp\gofmengcdcbigddhbgdlifdnfcaaihjk\background.html
- %TEMP%\BKYFLB.tmp\QOXV73zI53DnbUi.exe
- %TEMP%\BKYFLB.tmp\QOXV73zI53DnbUi.dat
- %TEMP%\7zSEF4D.tmp\gofmengcdcbigddhbgdlifdnfcaaihjk\AEOLig.js
- %TEMP%\7zSEF4D.tmp\QOXV73zI53DnbUi.exe
- %TEMP%\7zSEF4D.tmp\vm6@00aioB.org\bootstrap.js
- %TEMP%\7zSEF4D.tmp\vm6@00aioB.org\chrome.manifest
- %TEMP%\7zSEF4D.tmp\QOXV73zI53DnbUi.dat
- %TEMP%\7zSEF4D.tmp\gTF9hCmxdKLSKs.dll
- %TEMP%\7zSEF4D.tmp\gTF9hCmxdKLSKs.tlb
- %TEMP%\7zSEF4D.tmp\gTF9hCmxdKLSKs.x64.dll
Сетевая активность:
UDP:
- DNS ASK dn#.##ftncsi.com
- DNS ASK ge####emobj.info
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
