Technical Information
Malicious functions
Creates and executes the following
- '%ProgramFiles(x86)%\google\chrome\application\chrome.exe' --type=gpu-process --channel="1032.0.1542774312\164852748" --supports-dual-gpus=false --gpu-driver-bug-workarounds=1,19,42 --gpu-vendor-id=0x0000 --gpu-device-id=0x0000 --gpu-driver-vendor --gp...
- '%ProgramFiles(x86)%\google\chrome\application\chrome.exe' --type=renderer --enable-deferred-image-decoding --lang=ru --force-fieldtrials="BackgroundRendererProcesses/Disallow/BrowserBlacklist/Enabled/*CTRequiredForEVTrial/RequirementEnforced/CaptivePo...
- '%ProgramFiles(x86)%\google\chrome\application\chrome.exe' --type=renderer --enable-deferred-image-decoding --lang=ru --force-fieldtrials="BackgroundRendererProcesses/Disallow/*BrowserBlacklist/Enabled/*CTRequiredForEVTrial/RequirementEnforced/CaptiveP...
Injects code into
the following user processes:
- chrome.exe
Modifies file system
Creates the following files
- %TEMP%\etilqs_ogb19vsw0wbasie
Network activity
Connects to
- 'clients4.google.com':443
- 'ad####ice.google.nl':443
- 'gu#.#riteo.com':443
- 'sb.#####cardresearch.com':443
- 'tn###ounter.ru':443
- 'mc.yandex.ru':443
- 'se####.cpmstar.com':443
- 'ph####hosting.ru':443
- 'go######s.g.doubleclick.net':443
- 'ph####hosting.ru':80
- 'fo###.gstatic.com':443
- 'co####r.yadro.ru':443
- 'pa#####.#ooglesyndication.com':443
- 'st####.criteo.net':443
- 'hi.ru':443
- 'hi.ru':80
- 'gs##tic.com':80
- 'clients3.google.com':443
- 'tr######e.googleapis.com':443
- 'clients2.google.com':443
- 'tp#.####lesyndication.com':443
- 'go#####agservices.com':443
TCP
HTTP GET requests
- http://hi.ru/images/green.png
- http://ph####hosting.ru/161922421617649.jpg
- http://ph####hosting.ru/161922421586593.jpg
- http://ph####hosting.ru/161922421513404.jpg
- http://ph####hosting.ru/161922421623449.jpg
- http://ph####hosting.ru/161922421541993.jpg
- http://ph####hosting.ru/161922421532481.jpg
- http://ph####hosting.ru/161922421460380.jpg
- http://ph####hosting.ru/161922421088661.jpg
- http://ph####hosting.ru/161922420971929.jpg
- http://ph####hosting.ru/161922420932599.jpg
- http://ph####hosting.ru/161922420950606.jpg
- http://ph####hosting.ru/161922420965217.jpg
- http://ph####hosting.ru/161922420843839.jpg
- http://ph####hosting.ru/161922420841305.jpg
- http://ph####hosting.ru/161922420814678.jpg
- http://ph####hosting.ru/161922420742087.jpg
- http://ph####hosting.ru/161922420717335.jpg
- http://ph####hosting.ru/161922420746762.jpg
- http://ph####hosting.ru/161922420618142.jpg
- http://ph####hosting.ru/161922420666859.jpg
- http://ph####hosting.ru/161922420610934.jpg
- http://ph####hosting.ru/161922420295954.jpg
- http://ph####hosting.ru/161922420234752.jpg
- http://ph####hosting.ru/161922420216146.jpg
- http://ph####hosting.ru/161922420517965.jpg
- http://ph####hosting.ru/161922420597635.jpg
- http://ph####hosting.ru/161922420363915.jpg
- http://ph####hosting.ru/161922420312860.jpg
- http://ph####hosting.ru/161922420357626.jpg
- http://ph####hosting.ru/161922421689242.jpg
- http://ph####hosting.ru/161922421685550.jpg
UDP
- DNS ASK clients2.google.com
- DNS ASK adservice.google.com
- DNS ASK ad####ice.google.nl
- DNS ASK pa#####.#oogleadservices.com
- DNS ASK gu#.#riteo.com
- DNS ASK sb.#####cardresearch.com
- DNS ASK tn###ounter.ru
- DNS ASK mc.yandex.ru
- DNS ASK se####.cpmstar.com
- DNS ASK go######s.g.doubleclick.net
- DNS ASK fo###.gstatic.com
- DNS ASK co####r.yadro.ru
- DNS ASK go#####agservices.com
- DNS ASK ph####hosting.ru
- DNS ASK pa#####.#ooglesyndication.com
- DNS ASK st####.criteo.net
- DNS ASK fo###.#oogleapis.com
- DNS ASK clients3.google.com
- DNS ASK gs##tic.com
- DNS ASK tr######e.googleapis.com
- DNS ASK hi.ru
- DNS ASK go###eapis.com
- DNS ASK go##le.ru
- DNS ASK google.com
- DNS ASK clients4.google.com
- DNS ASK tp#.####lesyndication.com
- 'google.com':443
- 'fo###.#oogleapis.com':443
Miscellaneous
Searches for the following windows
- ClassName: 'Chrome_MessageWindow' WindowName: '%LOCALAPPDATA%\Google\Chrome\User Data'
