Malware.Rujack
Cartão de pontuação de ameaças
EnigmaSoft Threat Scorecard
Os EnigmaSoft Threat Scorecards são relatórios de avaliação para diferentes ameaças de malware que foram coletadas e analisadas por nossa equipe de pesquisa. Os Scorecards de Ameaças da EnigmaSoft avaliam e classificam as ameaças usando várias métricas, incluindo fatores de risco reais e potenciais, tendências, frequência, prevalência e persistência. Os Scorecards de Ameaças da EnigmaSoft são atualizados regularmente com base em nossos dados e métricas de pesquisa e são úteis para uma ampla gama de usuários de computador, desde usuários finais que buscam soluções para remover malware de seus sistemas até especialistas em segurança que analisam ameaças.
Os Scorecards de Ameaças da EnigmaSoft exibem uma variedade de informações úteis, incluindo:
Classificação de Popularidade: A classificação de uma ameaça específica no Banco de Dados de Ameaças da EnigmaSoft.
Nível de gravidade: O nível de gravidade determinado de um objeto, representado numericamente, com base em nosso processo de modelagem de risco e pesquisa, conforme explicado em nossos Critérios de Avaliação de Ameaças .
Computadores infectados: O número de casos confirmados e suspeitos de uma determinada ameaça detectada em computadores infectados conforme relatado pelo SpyHunter.
Consulte também Critérios de Avaliação de Ameaças .
| Classificação de popularidade: | 373 |
| Nível da Ameaça: | 50 % (Médio) |
| Computadores infectados: | 457,803 |
| Visto pela Primeira Vez: | April 6, 2017 |
| Visto pela Última Vez: | October 1, 2026 |
| SO (s) Afetados: | Windows |
Rujack e Malware.Rujack são nomes de detecção que são usados pelos desenvolvedores de segurança cibernética em referência a riskwares e softwares que seqüestram o navegador, que forçam os usuários a carregar páginas no domínio h[tt]ps://mail[.]ru. Mail.ru é um site legítimo adequado para os internautas de língua russa. O Mail.ru é semelhante ao Bing e ao Google de várias maneiras, tais como a previsão do tempo integrada, o suporte ao cliente de mensagens instantâneas, o serviço de e-mail, os alimentadores de notícias e a integração do serviço de pesquisa do Yandex. Infelizmente, a reputação do Mail.ru tem sido atormentada por atividades de adware e seqüestros do navegador, que foram causados por terceiros que pretendiam reivindicar receita de publicidade redirecionando os usuários para o Mail.ru.
Um software detectado como Rujack e Malware.Rujack pode incluir extensões de navegador para o Google Chrome, complementos para o Mozilla Firefox e Objetos de Auxilio ao Navegador (OANs) para o Internet Explorer. Geralmente, os aplicativos do Rujack são distribuídos para os usuários de PC na companhia de atualizações enganosas e falsas para o Adobe Flash e Java. Os programas da marca Rujack podem ser apresentados aos usuários como players de mídia gratuitos e extensões que ajudam no streaming de conteúdo de vídeo da Internet. Vimos aplicativos como o "Rutube Chrome Extension", o "WebExpEnhanced" e o "UpdHost2" marcados como Malware.Rujack e PUP.Optional.MailRu. As extensões com os seguintes IDs são conhecidas por causar problemas aos usuários:
lhemechcanjmilllmccjbjldonmnnjjj
hcadgijmedbfgciegjomfpjcdchlhnif
bhjhnafpiilpffhglajcaepjbnbjemci
indjgiebmakhmnaplnlnanodkfiejfjd
O software Rujack faz alterações nos navegadores populares da Web e os força a carregar recursos no Mail.ru, bem como anúncios de domínios não confiáveis. A maioria dos casos que envolvem o software Rujack corresponde à Europa e à América Central. O Malware.Rujack pode usar scripts VBS e chaves do Registro para redirecionar os usuários a páginas não seguras na Internet, além de convidar os usuários a executar softwares questionáveis de editores não verificados. É melhor remover os arquivos e aplicativos associados ao Malware.Rujack usando um programa anti-malware confiável.Os digitalizadores AV podem listar arquivos relacionados ao Rujack com os seguintes nomes:
- Suspicious_GEN.F47V0628
- Trojan.Agent.CIPO
- Trojan.VBS.HotNews.a
- Win32/Trojan.7e4
- malware (ai score=81)
Índice
SpyHunter detecta e remove Malware.Rujack
Detalhes Sobre os Arquivos do Sistema
Malware.Rujack pode criar o(s) seguinte(s) arquivo(s):
| # | Nome do arquivo | MD5 |
Detecções
Detecções: O número de casos confirmados e suspeitos de uma determinada ameaça detectada nos computadores infectados conforme relatado pelo SpyHunter.
|
|---|---|---|---|
| 1. | ijhg.vbs | 990b494c525a8368f4b7ed9bac762ae1 | 58 |
Detalhes sobre o Registro
Malware.Rujack pode criar a seguinte entrada de registro ou entradas de registro:
CLSID
{CBF88FC2-F150-4F29-BC80-CE30EFD1B62C}
File name without path
amigo.bat
Чистилка.lnk
Regexp file mask
%ALLUSERSPROFILE%\[RANDOM CHARACTERS] [RANDOM CHARACTERS].lnk.bat
%ALLUSERSPROFILE%\[RANDOM CHARACTERS] [RANDOM CHARACTERS].lnk.bat
%ALLUSERSPROFILE%\Application Data\help.bat
%ALLUSERSPROFILE%\help.bat
%localappdata%\yandex.bat
%PROGRAMFILES%\Subversion\TortoiseSVN Overlay.dll
%WINDIR%\System32\Tasks \mysidex[NUMBERS]
%WINDIR%\System32\Tasks\101news101net[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\101news101org[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\1bl0gcom[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\1bl0gnet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\1news101com[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\1news101net[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\24runewscom[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\24runewsnet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\24socialnewscom[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\24socialnewsnet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\2infoblogcom[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\2infoblognet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\3bloginfocom[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\7runewscom[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\7runewsnet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\[RANDOM CHARACTERS]journalorg[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\all-journalnet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\andyounnewsnet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\bl0gingcom[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\bl0gingnet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\blog9newsnet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\blogingtcom[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\blogingtnet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\blogmytopnet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\bossnewsbiz[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\browser-netnet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\browser-netorg[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\fornews2017net[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\fornews2017org[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\fpagesnewscom[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\fpagesnewsnet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\free1newsnet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\gogetnewsnet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\good-journalnet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\green5news[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\hit5news[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\hitech-2017info[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\hitech-2017net[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\hitnews1net[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\hitnews1org[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\httphumanvevo12com[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\httpnewsfor24klocom[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\httpnewsfor24procom[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\httpnewsfor24smocom[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\inewsennet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\interesting20news17com[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\interesting20news17net[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\internet-lifeorg[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\inversenewscom[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\jooringcom[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\jooringnet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\journal-allnet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\journal-goodnet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\journal-goodorg[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\journalaboutlifeorg[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\jurnal-lifenet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\kodobi[NUMBERS]
%WINDIR%\System32\Tasks\krutonewsorg[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\linenewsorg[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\LookUpPro[NUMBERS]
%WINDIR%\System32\Tasks\lorensonewscom[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\lorensonewsnet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\MarketAdvior[NUMBERS]
%WINDIR%\System32\Tasks\myblog10com[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\myblognewsorg[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\mynewsforcom[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\mynewsfornet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\nano-newsinfo[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\new1newsnet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\new1newsorg[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\news-onlyorg[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\news-truenet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\news1freecom[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\news1freeorg[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\news24socialcom[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\news24socialnet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\newscruisenet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\newsfor24orgzhrotsm
%WINDIR%\System32\Tasks\newshistorysnetlhrots[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\newsonlineonlynet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\newsonlyonlinenet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\newssocialorg[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\newstimes2017[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\newstop5net[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\newstop5org[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\notbadnewsnet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\notbadnewsorg[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\onepagesnewscom[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\onepagesnewsnet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\pagesnewsorg[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\timeandnewscom[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\timeandnewsnet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\top5newsorg[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\top9blogcomqazsm
%WINDIR%\System32\Tasks\topnews17com[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\topnews17info[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\topnews17net[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\topnewsonlinenet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\vnovostyahnet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\yocoursenewscom[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\yocoursenewsnet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\youfreenewsnet[RANDOM CHARACTERS]
%WINDIR%\System32\Tasks\YoutubeDownloader
%WINDIR%\System32\Tasks\YoutubeDownloader_upd
Software\kodobi
Software\LookupPro
Software\MarketAdvior
Software\Microsoft\chst
SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\TASKCACHE\TREE\kodobi
SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\TASKCACHE\TREE\kodobi2
SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\TASKCACHE\TREE\LookUpPro
SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\TASKCACHE\TREE\LookUpPro2
SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\TASKCACHE\TREE\mysidex
SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\TASKCACHE\TREE\mysidex2
Software\Microsoft\Windows\CurrentVersion\Run\kodobi
Software\Microsoft\Windows\CurrentVersion\Run\LookUpPro
Software\Microsoft\Windows\CurrentVersion\Run\MarketAdvior
Software\Microsoft\Windows\CurrentVersion\Run\mysidex
Software\mysidex
SOFTWARE\Policies\Microsoft\Internet Explorer\SearchScopes\1E35BAB2-2EA9-428D-8E26-705304D76739
SOFTWARE\Wow6432Node\Policies\Microsoft\Internet Explorer\SearchScopes\1E35BAB2-2EA9-428D-8E26-705304D76739
SOFTWARE\Wow6432Node\Чистилка
SOFTWARE\Чистилка
SYSTEM\ControlSet001\services\Chistilka
SYSTEM\ControlSet002\services\Chistilka
SYSTEM\CurrentControlSet\services\Chistilka
kodobi
LookupPro
MarketAdvior
mysidex
Чистилка
Diretórios
Malware.Rujack pode criar o seguinte diretório ou diretórios:
| %ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\Чистилка |
| %ALLUSERSPROFILE%\Чистилка |
| %APPDATA%\CurrencyConvertor |
| %APPDATA%\EVERYDAYHOLIDAY |
| %APPDATA%\MarketAdvior |
| %APPDATA%\Movies |
| %APPDATA%\Onetabber |
| %APPDATA%\PBot |
| %APPDATA%\WeatherForecaster |
| %APPDATA%\YoutubeDownloader |
| %APPDATA%\YoutubeDownloader_upd |
| %APPDATA%\adtschema |
| %APPDATA%\gerpril |
| %APPDATA%\kceidjgdigbhildogdafgekneemgibfe |
| %APPDATA%\msspeedlib |
| %APPDATA%\mysidex |
| %APPDATA%\okagncigkfokplmopeninonbibkmpogi |
| %APPDATA%\printfilterpipelinesvc |
| %AppData%\LookupPro |
| %AppData%\kodobi |
| %TEMP%\tmpnrlv3x9i |
| %TEMP%\tmpq07u1cp9 |
URLs
Malware.Rujack pode chamar os seguintes URLs:
| /gazetwa.ru |
| c.traffic-media.co/ |
| go.deliverymodo.com/afu |
| kalolo.ru |
| sagepubgo.com |
| search.distring.ru |
| searche-engine.ru |
| searchtds.ru |
| searchtrack.ru |
| send-notice.com |
| traff-1.ru |
| traff-2.ru |
| traff-3.ru |
| traff3.ru |
| traffic-media.co/mghtml |
Relatório de análise
Informação geral
| Nome de família: | Malware.Rujack |
|---|---|
| Status da assinatura: | Hash Mismatch |
Amostras conhecidas
Amostras conhecidas
Esta seção lista outras amostras de arquivos que se acredita estarem associadas a esta família.|
MD5:
7a63a29f7cba336748ae404be30b0293
SHA1:
d13b21c14c6ff59c65a924ca44797ae871225365
Tamanho do Arquivo:
978.50 KB.978504 bytes
|
|
MD5:
f78b2b6bf6ee4c2d45dd80b80fc41eb5
SHA1:
7611ece276641bf3cee309e4047a3ac658645b3c
Tamanho do Arquivo:
5.17 MB.5169152 bytes
|
|
MD5:
b2224c39d840e8b4138a9b0189e50e85
SHA1:
303ea8f12651c382bc0f7e26ed551b88c41649e0
SHA256:
BC84FA9AA38FD75379056E662C5E474CFE2BAF18DE1D23A0DF58D027ED4302E6
Tamanho do Arquivo:
2.55 MB.2545936 bytes
|
|
MD5:
49bd2ac08370287fe8981ec44e489d2f
SHA1:
758646ef3c9c1fba7aa1134000624319c24e8cb7
SHA256:
6B8B02E815FF3AB39C474FA8D7F84AC2370563FA93BA9D90C299AB67B56C0DAE
Tamanho do Arquivo:
1.05 MB.1052672 bytes
|
|
MD5:
3d1f5a6335e2380239b744f38eaa0ad1
SHA1:
9663ec59df0150cadac59cce87b14e2248272486
SHA256:
A8C7AE4D422341CDD21EA54286F64C1550DBE145856724DF148FC74E8F870C2B
Tamanho do Arquivo:
293.90 KB.293904 bytes
|
Mostrar mais
|
MD5:
3f9c0dd9a697271399b4258e90d17eb6
SHA1:
ba104b981e24e0aaae774e07052d98785f1f99ad
SHA256:
BEBC78C8F54EF5FAAE53AE6182C235DB99AE96C2DD7B87657C6526A57D34EADB
Tamanho do Arquivo:
251.56 KB.251560 bytes
|
|
MD5:
0ab13baf8dc634609b2dac444b0c92f4
SHA1:
53cae181389bc9c57c97f4c4165bdad91853c07c
SHA256:
E33B72130A5F79481D0A2264B97258ADBEA8472D9D1BE76D329CC28D43CCACF5
Tamanho do Arquivo:
1.23 MB.1230784 bytes
|
|
MD5:
33b9a8b5c88778011c4f77107ba167fc
SHA1:
454755c8e375795dd7e9277e0a2282ce8fe821fc
SHA256:
D61673C31E8DBF00FE4C1B0173024D9AF6E8384EBD14EA776586600C9B88FDE3
Tamanho do Arquivo:
3.66 MB.3662800 bytes
|
|
MD5:
b24173a36d4353fe1e059ec08ad36335
SHA1:
8ff3a1681699cfeb0936eca6d93a84ab3300473d
SHA256:
2EDBC21BD918B07DAC3097BA75363C0599B12312925D4273E085506327ED43C6
Tamanho do Arquivo:
190.87 KB.190872 bytes
|
|
MD5:
14f7f35fdd9b3826a492392e9aaf40db
SHA1:
02c41d907e44c7b8f2bad33aa9e528709cf5e50f
SHA256:
40825F9CC45E6655A9A563B3C742A343C8C62D012AA7158D0A194A806B1020D3
Tamanho do Arquivo:
1.27 MB.1272536 bytes
|
|
MD5:
ac946d1efea429910b6720e42c499408
SHA1:
743013cd4d745a9efbe1b516c97fa290df6ea5d7
SHA256:
342CC2BD05E70875BDC5FEE7E3CCD02957ACDEDCC1A8BDC40996CFF914F85BB1
Tamanho do Arquivo:
2.45 MB.2452248 bytes
|
|
MD5:
068e0df1ba4fd92068ee891624c810ec
SHA1:
e3a148220a4f901ca1329c8bbbbb1804c6a5b1f9
SHA256:
8CE4D1E72FE174E8CC9FE653BE78D6F3DE5505C36838AEE4268548A5E50E1C97
Tamanho do Arquivo:
3.94 MB.3937016 bytes
|
|
MD5:
55f28141894c9a1eb39084a2f40b690d
SHA1:
6f4dae273a57028c2c179fe7a8c3d7650776dc54
SHA256:
F92CBC58655450E86139B48442A4E3DD7E1CF65800943AC43268C69AD2174AAC
Tamanho do Arquivo:
3.15 MB.3153304 bytes
|
|
MD5:
b6653433f74a1f8a83ea9ee19d57d5b3
SHA1:
3fb8861c5b0e1346bd737f1348536c11a9e16fe9
SHA256:
53FA3130B4ACD6FBEFA51F732C236B76E687CE66B0F9480120C1045BDAA36F6B
Tamanho do Arquivo:
4.88 MB.4876184 bytes
|
|
MD5:
4e3087ab06ddfd5952216ea70d467fb0
SHA1:
51929190c7266fa1884669d07072d977504686c6
SHA256:
8200776275EF8F63858D6A98D1A5E937FBEE2395307B9A3E2FA235CFCDAA7D2D
Tamanho do Arquivo:
202.59 KB.202592 bytes
|
|
MD5:
6d422f15a57fe38582564ce1d3fd1ff9
SHA1:
414306aa77b5594d6c6364869136e98df3f11bd6
SHA256:
6196014258E09D9F453D42963A9745920DE51202BA3276770066CB824517CB85
Tamanho do Arquivo:
1.08 MB.1080184 bytes
|
|
MD5:
730275e7d8e10ec6eeddddb7c291874a
SHA1:
1cd4b56fe92b78ebc895d646b8ac95205aece75f
SHA256:
8715AFF8BFEB7622D3C2B9E50B2FFA3281F523527E24236212E84A26EFE1DE6E
Tamanho do Arquivo:
269.43 KB.269432 bytes
|
|
MD5:
31ac648e8c4462fd9b79e6388a7abba8
SHA1:
ecedae62e739a8b6cea1ff398ff47895d625420a
SHA256:
C831B855BA9EA6550550A4BCCDF7FEDF696C94B859FC8DFA40B8D6BD4395D5A4
Tamanho do Arquivo:
153.50 KB.153496 bytes
|
|
MD5:
46231d4781735515e152b600bb6fc69b
SHA1:
5b29f63133b39f7cb88c593835a83f9964f859de
SHA256:
ABB457A96C518DA64A4B86858D1D44DCA17660973D4C5E84C43962D05953602D
Tamanho do Arquivo:
609.52 KB.609524 bytes
|
|
MD5:
b5cf3d002dbcdbd11aed2c5001b11304
SHA1:
7d56162d5aa8d9739391e3c0f88bf1e97d13f258
SHA256:
DBA57457661CCC732595364F50A50C3E43C9379B4A1C32BDEBBE7A4175623F31
Tamanho do Arquivo:
2.89 MB.2887064 bytes
|
|
MD5:
577234bda8f9ad99a37d1c7b264ee075
SHA1:
a4bb80bac04a11d62283dc501b3a615460d32ca8
SHA256:
16BCF1765198EDCADE0DC710C1C7D1B81489E89829F8EDBF055DCDD35F9DC785
Tamanho do Arquivo:
3.96 MB.3958935 bytes
|
|
MD5:
a085995415a88ab0fa0edf7bd23e4108
SHA1:
15a4d7168ab213acce09028cdcada91701bc4ac8
SHA256:
6E6A7086C64097C3B660512134CBAE97480233772DC784264E6A1B7AC947FA3B
Tamanho do Arquivo:
5.01 MB.5014186 bytes
|
|
MD5:
9f3107b2c3fea31f4f6ee41c468989e5
SHA1:
8a19eb24af567b5b016724ee31a7d48bc6aab90a
SHA256:
833B23F258020C23AB77BD08D76A36D0B8DBCE4E6AFA5F2259A08BF057157FC5
Tamanho do Arquivo:
3.71 MB.3713566 bytes
|
|
MD5:
12ff1137603f2b428095d6c394d1e569
SHA1:
ef24febd0c0d330e45109960675a786e3fb684f2
SHA256:
33E69E738F9A92D6B3C104A3F892F799B8F5D2274F293C513602EE3FDF8697F0
Tamanho do Arquivo:
2.89 MB.2887064 bytes
|
|
MD5:
b168d5d0d4551fef912b18d747f8c6b9
SHA1:
8c15c3f682f750751dd315ca8c59f1a46d7a2927
SHA256:
1231FA7B4039A18AA1A511192FE6B2CD5715C257AA90D76A2426BCD97BDE4747
Tamanho do Arquivo:
1.14 MB.1143592 bytes
|
|
MD5:
02347c6f359711c361c2bfc4c1dd22ce
SHA1:
ebba49a2c9f28ff97e1ecc93777d7635f7cab1e4
SHA256:
92B495BAE24FD881A008B25643E6C4F80D4E58A2F176378CD54F413ED2A4FC19
Tamanho do Arquivo:
5.01 MB.5014034 bytes
|
|
MD5:
14116f2f637576ca74f0ea61db0b1bf6
SHA1:
d9efea098e0835a354e64fd3981f8a98a957f2e0
SHA256:
28DEE016F2635E4895AED6859A56C4A61E574BC67833F5B634CA553417B753C2
Tamanho do Arquivo:
3.82 MB.3821568 bytes
|
|
MD5:
8f745ecf791557f4436c0988bc449ba5
SHA1:
343f940554848ebbc96bb282830f697d9f47ce84
SHA256:
07F57E516E4D51D11397FAD9AD868A0E6F13D1B74D7960038C6A2330DB9FE3CA
Tamanho do Arquivo:
1.26 MB.1255944 bytes
|
|
MD5:
b0a64894e8466c0cf6b33fc7218dd282
SHA1:
770a5a384401e1a5acd1667440949be62e4d62cb
SHA256:
49051621D568D3832BA44E010155AA8FFB3DFFB21FFC86289CC4609A77F9576C
Tamanho do Arquivo:
3.24 MB.3244952 bytes
|
|
MD5:
5dde385c3bbd072014d7e74d15387625
SHA1:
9dca195c483a29c7090737c63263da3a6f360a8f
SHA256:
93A0C24C8604AAC1A7ED2469E2DB950C69C263348ECC3E05325292F36BFD68FD
Tamanho do Arquivo:
4.97 MB.4973960 bytes
|
|
MD5:
e63cc3e0bc74d991621f94afe2ac2101
SHA1:
9e78dfb5c260c1a1a335696d22bf5496c9a81edd
SHA256:
1CA62A560EE6885B9C9187ADE5C8933EC28A52323FFBC39F8E2BA9C9FB151247
Tamanho do Arquivo:
3.25 MB.3245464 bytes
|
|
MD5:
cf7c1061e01de8530164fb9903384efd
SHA1:
0cfdfc2f07ec951a856a441052c8137077b347ce
SHA256:
D8D1BF78C88874653C36362D4CAC0FA9EBBE29F0DE5B28AD9D7C04E0E80F87CF
Tamanho do Arquivo:
2.89 MB.2887064 bytes
|
|
MD5:
2ad86e244d8a56665b750ae5f7216ded
SHA1:
d697b08b3b03af9ba38ad589b06f6d665676f205
SHA256:
0B9FF25A3436AEFB01903A803D140217C3C1EC1408984864246B15DE1AEB9623
Tamanho do Arquivo:
2.90 MB.2895064 bytes
|
|
MD5:
6e8cea70801ee8afa33371a2d370f315
SHA1:
48ba38d01c4a227e25ab1cd786c8fb42b85f05cc
SHA256:
F5CB48925467BE70DBA99BC07DA8150AA9D7FC8C41E73F59F15DE5DE05E41AAE
Tamanho do Arquivo:
1.01 MB.1011280 bytes
|
|
MD5:
d1be71f084108b485b9fbd3ef5cca075
SHA1:
ba9bfe2941e415eadf158401fd1c15471640b1c7
SHA256:
79FED02B7B8EC6D56E1FCE128217EFB95D3A504A3056037A21FD0B7713392F55
Tamanho do Arquivo:
381.34 KB.381336 bytes
|
|
MD5:
8ddbf39a353b7293e4cc3cb9640d5edb
SHA1:
d6f8b0cc0ac6cb310825d9226004073cfa9b0f96
SHA256:
AB3D4C8D7596A89DD918681575C503858A5D1B2555B72E268B7EFE1BE7FABEA2
Tamanho do Arquivo:
4.20 MB.4200624 bytes
|
|
MD5:
dd4c83df8e1f05cb6181d73df5cd2ef6
SHA1:
1bbcec6a48a7390abe94fe0549dee13d5f345b5d
SHA256:
9D3D8EE8A07C6D471DD15C4EF5CB2E3F09D486131B31855006DA78D5B41DF611
Tamanho do Arquivo:
3.24 MB.3240160 bytes
|
|
MD5:
46136bee7ecc98b9eb188c142295dada
SHA1:
89acd1d6644c06a7327674bf677f4a4d3db34999
SHA256:
496D9784286164E864797B46DF91C4B5BAEBAED389FAC8A78EF1A3D06C8C6FC1
Tamanho do Arquivo:
250.08 KB.250080 bytes
|
Atributos do executável portátil do Windows
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have relocations information
- File doesn't have security information
- File has been packed
- File has exports table
- File has TLS information
- File is .NET application
- File is 32-bit executable
Mostrar mais
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Ícones de arquivo
Ícones de arquivo
Esta seção exibe os recursos de ícones encontrados nas amostras da família. O malware frequentemente replica ícones comumente associados a softwares legítimos para enganar os usuários e fazê-los acreditar que o malware é seguro.
Mostrar mais
Informações sobre a versão do Windows PE
Informações sobre a versão do Windows PE
Esta seção exibe os valores e atributos definidos na estrutura de dados de informações de versão de arquivos do Windows para amostras desta família. Para enganar os usuários, os agentes maliciosos frequentemente adicionam informações de versão falsas, imitando softwares legítimos.| Nome | Valor |
|---|---|
| Assembly Version |
|
| Comments |
|
| Company Name |
Mostrar mais
|
| File Description |
Mostrar mais
|
| File Version |
|
| Internal Name |
|
| Legal Copyright |
|
| Legal Trademarks | MKntQZLbxsAoEy |
| Original Filename |
|
| Product Name |
Mostrar mais
|
| Product Version |
Mostrar mais
|
| Public Name | XYPsipTSzHtiDHM |
Assinaturas digitais
Assinaturas digitais
Esta seção lista as assinaturas digitais anexadas às amostras desta família. Ao analisar e verificar assinaturas digitais, é importante confirmar se a autoridade raiz da assinatura é uma entidade conhecida e confiável e se o status da assinatura é válido. Malwares frequentemente são assinados com assinaturas digitais "autoassinadas" não confiáveis (que podem ser facilmente criadas por um autor de malware sem qualquer verificação). Malwares também podem ser assinados por assinaturas legítimas com status inválido e por assinaturas de autoridades raiz questionáveis com nomes de "assinante" falsos ou enganosos.| Signatário | Raiz | Status |
|---|---|---|
| AVRORA, OOO | AAA Certificate Services | Root Not Trusted |
| OOO Kod 7 | COMODO RSA Certification Authority | Root Not Trusted |
| OOO Kod 7 | COMODO RSA Code Signing CA | Self Signed |
| PROTOTAIPS, OOO | COMODO RSA Code Signing CA | Self Signed |
| Global Microtrading PTE. LTD | DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1 | Hash Mismatch |
Mostrar mais
| Global Microtrading PTE. LTD | DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1 | Self Signed |
| ROSTPAY LTD | DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1 | Hash Mismatch |
| Global Microtrading PTE. LTD | DigiCert Trusted Root G4 | Root Not Trusted |
| Global Microtrading PTE. LTD | DigiCert Trusted Root G4 | Hash Mismatch |
| Global Microtrading PTE. LTD | GoGetSSL G4 CS RSA4096 SHA256 2022 CA-1 | Self Signed |
| Destiny Media | VeriSign Class 3 Public Primary Certification Authority - G5 | Root Not Trusted |
| GLOBAL MICROTRADING PTE. LTD. | thawte SHA256 Code Signing CA | Hash Mismatch |
| Global Microtrading PTE. LTD | thawte SHA256 Code Signing CA | Hash Mismatch |
| Global Microtrading PTE. LTD | thawte SHA256 Code Signing CA | Self Signed |
| ROSTPAY LTD | thawte SHA256 Code Signing CA | Self Signed |
Características do arquivo
- .aspack
- ASPack v2.11d
- HighEntropy
- No Version Info
- packed
- x86
Informações do bloco
Informações do bloco
Durante a análise, o EnigmaSoft divide as amostras de arquivos em blocos lógicos para classificação e comparação com outras amostras. Os blocos podem ser usados para gerar regras de detecção de malware e para agrupar amostras de arquivos em famílias com base no código-fonte compartilhado, funcionalidade e outros atributos e características distintivas. Esta seção apresenta um resumo desses dados de bloco, bem como sua classificação pelo EnigmaSoft. Uma representação visual dos dados de bloco também é exibida, quando disponível.| Total de blocos: | 661 |
|---|---|
| Blocos potencialmente maliciosos: | 3 |
| Blocos permitidos: | 653 |
| Blocos desconhecidos: | 5 |
Mapa visual
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
x
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
?
?
0
x
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
?
0
0
0
?
0
0
0
0
0
0
x
?
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
2
0
0
0
0
0
0
1
0
1
0
0
0
0
0
0
0
1
2
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
1
1
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
1
0
0
0
0 - Bloco Provavelmente Seguro
? - Bloco Desconhecido
x - Bloco Potencialmente Malicioso
? - Bloco Desconhecido
x - Bloco Potencialmente Malicioso
Famílias semelhantes
Famílias semelhantes
Esta seção lista outras famílias que compartilham semelhanças com esta família, com base na análise da EnigmaSoft. Muitas famílias de malware são criadas a partir dos mesmos kits de ferramentas e utilizam as mesmas técnicas de compactação e criptografia, mas ampliam sua funcionalidade de forma exclusiva. Famílias semelhantes também podem compartilhar código-fonte, atributos, ícones, subcomponentes, assinaturas digitais comprometidas e/ou inválidas e características de rede. Os pesquisadores exploram essas semelhanças para triar amostras de arquivos de forma rápida e eficaz e aprimorar as regras de detecção de malware.- AdGazelle.A
- Agent.AN
- Agent.IUH
- Downloader.Agent.TJ
- Farfli.XB
Mostrar mais
- MediaGet.B
- Mobogenie
- Murphy.B
- NukeSped.XB
- Rozena.EA
- SearchSuite.C
- ShellcodeRunner.BU
- ShellcodeRunner.XT
- Trojan.Agent.Gen.PW
- Trojan.Downloader.Gen.BP
- Trojan.Krypt.Gen.NJU
- Trojan.Kryptik.Gen.IZQ
- Trojan.ShellcodeRunner.Gen.CL
- Vybab.A
- Zusy.CA
Arquivos modificados
Arquivos modificados
Esta seção lista os arquivos que foram criados, modificados, movidos e/ou excluídos por amostras desta família. A atividade do sistema de arquivos pode fornecer informações valiosas sobre como o malware funciona no sistema operacional.| Arquivo | Atributos |
|---|---|
| \device\namedpipe | Generic Read,Write Attributes |
| \device\namedpipe | Generic Write,Read Attributes |
| c:\program files\common files\system\symsrv.dll | Generic Write,Read Attributes |
| c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.1.regtrans-ms | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.2.regtrans-ms | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\elements_installer.log | Read Attributes,Synchronize,Append data |
| c:\users\user\appdata\local\temp\hd.vbs | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\is-32nea.tmp\_isetup\_setup64.tmp | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\is-32nea.tmp\botva2.dll | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\is-32nea.tmp\nativeuid.dll | Generic Write,Read Attributes |
Mostrar mais
| c:\users\user\appdata\local\temp\is-4f9hd.tmp\_isetup\_setup64.tmp | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\is-5cuvp.tmp\_isetup\_setup64.tmp | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\is-5cuvp.tmp\_isetup\_shfoldr.dll | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\is-5ejqa.tmp\48ba38d01c4a227e25ab1cd786c8fb42b85f05cc_0001011280.tmp | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\is-7doef.tmp\343f940554848ebbc96bb282830f697d9f47ce84_0001255944.tmp | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\is-9ah78.tmp\_isetup\_setup64.tmp | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\is-bj8rv.tmp\_isetup\_setup64.tmp | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\is-bj8rv.tmp\_isetup\_shfoldr.dll | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\is-bv69c.tmp\53cae181389bc9c57c97f4c4165bdad91853c07c_0001230784.tmp | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\is-ecqpl.tmp\_isetup\_setup64.tmp | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\is-fpqr9.tmp\743013cd4d745a9efbe1b516c97fa290df6ea5d7_0002452248.tmp | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\is-imocr.tmp\_isetup\_setup64.tmp | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\is-imocr.tmp\botva2.dll | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\is-imocr.tmp\callbackctrl.dll | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\is-imocr.tmp\idp.dll | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\is-imocr.tmp\v6bkx0i3qykwyp\u2dovf | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\is-o2jtj.tmp\d6f8b0cc0ac6cb310825d9226004073cfa9b0f96_0004200624.tmp | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\is-omt0c.tmp\303ea8f12651c382bc0f7e26ed551b88c41649e0_0002545936.tmp | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\is-pmogh.tmp\9dca195c483a29c7090737c63263da3a6f360a8f_0004973960.tmp | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\is-rm8vl.tmp\e3a148220a4f901ca1329c8bbbbb1804c6a5b1f9_0003937016.tmp | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\is-s4ika.tmp\d697b08b3b03af9ba38ad589b06f6d665676f205_0002895064.tmp | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\is-tc141.tmp\_isetup\_setup64.tmp | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\is-tc141.tmp\_isetup\_shfoldr.dll | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\is-vn2gj.tmp\_isetup\_setup64.tmp | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\is-vn2gj.tmp\botva2.dll | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\is-vn2gj.tmp\callbackctrl.dll | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\is-vn2gj.tmp\idp.dll | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\is-vn2gj.tmp\vbheznjbr7e6e7sdspk_aw2\krqz | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\mediaget-uninstaller.exe | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\nsc4fe2.tmp\findprocdll.dll | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\nsc4fe2.tmp\installoptions.dll | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\nsc4fe2.tmp\reason.ini | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\nsc4fe2.tmp\reason.ini | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\nsc4fe2.tmp\uac.dll | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\zon629c.tmp | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\zon6339.tmp | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\zonainstall.log | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\~nsu.tmp\au_.exe | Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144 |
| c:\users\user\appdata\roaming\zona\init.xml | Generic Write,Read Attributes |
Modificações no Registro
Modificações no Registro
Esta seção lista as chaves e os valores do registro que foram criados, modificados e/ou excluídos por amostras desta família. A atividade do Registro do Windows pode fornecer informações valiosas sobre a funcionalidade do malware. Além disso, o malware frequentemente cria valores no registro para permitir que ele inicie automaticamente e persista indefinidamente após uma infecção inicial comprometer o sistema.| Chave::Valor | Dados | Nome da API |
|---|---|---|
| HKCU\software\elements browser::userid | e20da494-dade-4d90-be97-90a661206df2 | RegNtPreCreateKey |
| HKCU\software\elements browser::installer_id | 6ec318a7-8e6e-4957-a119-473ee425a869 | RegNtPreCreateKey |
| HKLM\system\controlset001\control\session manager::pendingfilerenameoperations | \??\C:\Users\Vewhxgpu\AppData\Local\Temp\~nsu.tmp\Au_.exe | RegNtPreCreateKey |
| HKLM\system\controlset001\control\session manager::pendingfilerenameoperations | \??\C:\Users\Vewhxgpu\AppData\Local\Temp\~nsu.tmp\Au_.exe \??\C:\Users\Vewhxgpu\AppData\Local\Temp\~nsu.tmp | RegNtPreCreateKey |
| HKCU\software\media get llc\mediaget2\application::neu_ver | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect | RegNtPreCreateKey | |
| HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc3475 | �� xy �ރ ��^ ��z eeP Vs} # kP~ # ��1 > �� e e�� � ��1 �� f e�� i s e�� r � � s e�� u e�� v e�� { e�� | RegNtPreCreateKey |
Mostrar mais
| HKCU\software\media get llc\mediaget2-systemscope\mediaget_info::hasdownloadedupdate | false | RegNtPreCreateKey |
| HKCU\software\zona::exec | C:\Program Files (x86)\Zona\Zona.exe | RegNtPreCreateKey |
| HKCU\software\pinstall::i_user_id | AB7BB731-AE16-4E0C-9296-F8CF54E8492F | RegNtPreCreateKey |
| HKCU\software\zona::downloadsdir | C:\Users\user\Documents\Zona Downloads | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | ᜠ橓庪ǜ | RegNtPreCreateKey |
Utilização da API do Windows
Utilização da API do Windows
Esta seção lista as chamadas da API do Windows usadas pelos exemplos desta família. A análise do uso da API do Windows é uma ferramenta valiosa que pode ajudar a identificar atividades maliciosas, como registro de teclas digitadas (keylogging), escalonamento de privilégios de segurança, criptografia de dados, exfiltração de dados, interferência com software antivírus e manipulação de solicitações de rede.| Categoria | API |
|---|---|
| Process Shell Execute |
|
| User Data Access |
|
| Keyboard Access |
|
| Network Winhttp |
|
| Network Wininet |
|
| Encryption Used |
|
| Syscall Use |
Mostrar mais
|
| Process Manipulation Evasion |
|
| Anti Debug |
|
| Process Terminate |
|
| Other Suspicious |
|
Execução de comandos do shell
Execução de comandos do shell
Esta seção lista os comandos do shell do Windows executados pelas amostras desta família. Os comandos do shell do Windows são frequentemente explorados por malware para fins maliciosos e podem ser usados para elevar privilégios de segurança, baixar e executar outros malwares, explorar vulnerabilidades, coletar e exfiltrar dados e ocultar atividades maliciosas.
"C:\Users\Uneihyoq\AppData\Local\Temp\is-OMT0C.tmp\303ea8f12651c382bc0f7e26ed551b88c41649e0_0002545936.tmp" /SL5="$2026C,2096998,488960,c:\users\user\downloads\303ea8f12651c382bc0f7e26ed551b88c41649e0_0002545936"
|
"C:\Users\Vewhxgpu\AppData\Local\Temp\~nsu.tmp\Au_.exe" _?=c:\users\user\downloads\
|
"C:\Users\Waewglia\AppData\Local\Temp\is-BV69C.tmp\53cae181389bc9c57c97f4c4165bdad91853c07c_0001230784.tmp" /SL5="$300AE,971904,56832,c:\users\user\downloads\53cae181389bc9c57c97f4c4165bdad91853c07c_0001230784"
|
"C:\Users\Ysuizzzl\AppData\Local\Temp\is-FPQR9.tmp\743013cd4d745a9efbe1b516c97fa290df6ea5d7_0002452248.tmp" /SL5="$400FE,1592315,832512,c:\users\user\downloads\743013cd4d745a9efbe1b516c97fa290df6ea5d7_0002452248"
|
"C:\Users\Gvatgfhp\AppData\Local\Temp\is-RM8VL.tmp\e3a148220a4f901ca1329c8bbbbb1804c6a5b1f9_0003937016.tmp" /SL5="$90042,3145790,166400,c:\users\user\downloads\e3a148220a4f901ca1329c8bbbbb1804c6a5b1f9_0003937016"
|
Mostrar mais
(NULL) C:\Users\Rcwumpyt\AppData\Local\Temp\mediaget-uninstaller.exe --uninstall
|
cscript //NoLogo C:\Users\Dtcymojh\AppData\Local\Temp\hd.vbs
|
"C:\Users\Reirjlqj\AppData\Local\Temp\is-7DOEF.tmp\343f940554848ebbc96bb282830f697d9f47ce84_0001255944.tmp" /SL5="$12034C,994820,56832,c:\users\user\downloads\343f940554848ebbc96bb282830f697d9f47ce84_0001255944"
|
"C:\Users\Khhfasro\AppData\Local\Temp\is-PMOGH.tmp\9dca195c483a29c7090737c63263da3a6f360a8f_0004973960.tmp" /SL5="$C0342,4119908,832512,c:\users\user\downloads\9dca195c483a29c7090737c63263da3a6f360a8f_0004973960"
|
"C:\Users\Sabppkmt\AppData\Local\Temp\is-S4IKA.tmp\d697b08b3b03af9ba38ad589b06f6d665676f205_0002895064.tmp" /SL5="$1103AC,2035114,832512,c:\users\user\downloads\d697b08b3b03af9ba38ad589b06f6d665676f205_0002895064"
|
"C:\Users\Snfnrtsq\AppData\Local\Temp\is-5EJQA.tmp\48ba38d01c4a227e25ab1cd786c8fb42b85f05cc_0001011280.tmp" /SL5="$A034A,754007,56832,c:\users\user\downloads\48ba38d01c4a227e25ab1cd786c8fb42b85f05cc_0001011280"
|
"C:\Users\Vthewyss\AppData\Local\Temp\is-O2JTJ.tmp\d6f8b0cc0ac6cb310825d9226004073cfa9b0f96_0004200624.tmp" /SL5="$E026A,3432053,202752,c:\users\user\downloads\d6f8b0cc0ac6cb310825d9226004073cfa9b0f96_0004200624"
|
