Техническая информация
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\runonce\BundleSweetIMSetup.exe' = '%PROGRAM_FILES%\runonce\BundleSweetIMSetup.exe:*:Enabled:MiniMe'
Создает и запускает на исполнение:
- '%TEMP%\IMsetup.exe' -silent -SIMRB=ZakoSolutionsSP -Cargo=CT3317192 -SIMTP=pid=788&cmpid=39512&plcmtid=553942&cveid=1362051 -ConAsto -DID=10810 -revert
- '%PROGRAM_FILES%\runonce\BundleSweetIMSetup.exe' -silent -SIMRB=ZakoSolutionsSP -Cargo=CT3317192 -SIMTP="pid=788&cmpid=39512&plcmtid=553942&cveid=1362051" -ConAsto -DID=10810 -revert -SIMSDMURL=http://cd#.####load.sweetpacks.com/simsdm/conduit/SP/bundle/bundlesweetimsetup.exe
- '%PROGRAM_FILES%\runonce\SPIdentifier.exe'
- '%TEMP%\nsq6.exe'
- '%TEMP%\IMsetup.exe' (загружен из сети Интернет)
- '%TEMP%\nsq6.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\logonui.exe' /status /shutdown
Пытается завершить работу операционной системы Windows.
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\SPIdentifierImpl[1].exe
- %TEMP%\nsq6.exe
- %TEMP%\nsg4.tmp
- %TEMP%\nsq5.tmp\inetc.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\bundlesweetimsetup[1].exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\install_searchprotect[1].php
- %TEMP%\nsj2.tmp\test.txt
- %TEMP%\1386901262_126765_259.tmp
- %TEMP%\IMsetup.exe
- %PROGRAM_FILES%\runonce\runonce.cmd
- %PROGRAM_FILES%\runonce\Quiet.exe
- %PROGRAM_FILES%\runonce\BundleSweetIMSetup.exe
- %PROGRAM_FILES%\runonce\SPIdentifier.exe
- %TEMP%\nsj2.tmp\inetc.dll
- %TEMP%\nsj2.tmp\AccessControl.dll
- %TEMP%\nsj2.tmp\System.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\reportrun[1].php
- %TEMP%\reportrun.txt
Удаляет следующие файлы:
- %TEMP%\nsj2.tmp\AccessControl.dll
- %PROGRAM_FILES%\runonce\Quiet.exe
- %TEMP%\nsj2.tmp\inetc.dll
- %TEMP%\nsj2.tmp\test.txt
- %TEMP%\nsj2.tmp\System.dll
- %PROGRAM_FILES%\runonce\runonce.cmd
- %TEMP%\nsq5.tmp\inetc.dll
- %TEMP%\nsq6.exe
- %TEMP%\1386901262_126765_259.tmp
- %PROGRAM_FILES%\runonce\SPIdentifier.exe
- %PROGRAM_FILES%\runonce\BundleSweetIMSetup.exe
Сетевая активность:
Подключается к:
- 'cd#.####load.sweetpacks.com':80
- 'in#####er.t.sweetim.com':80
- 'www.ch##zum.com':80
- 'sp#######e.conduit-services.com':80
TCP:
Запросы HTTP GET:
- cd#.####load.sweetpacks.com/simsdm/conduit/SP/bundle/bundlesweetimsetup.exe
- www.ch##zum.com/report/install_searchprotect.php?us#################
- www.ch##zum.com/download/reportrun.php
- sp#######e.conduit-services.com/spidentifier/SPIdentifierImpl.exe
UDP:
- DNS ASK cd#.####load.sweetpacks.com
- DNS ASK in#####er.t.sweetim.com
- DNS ASK www.ch##zum.com
- DNS ASK sp#######e.conduit-services.com
Другое:
Ищет следующие окна:
- ClassName: 'StatusWindowClass' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
