Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\ffunzip.exe' -qq -o %HOMEPATH%\Local Settings\Temp"\tbff.xpi" -d %TEMP%\ct2319825
- '%TEMP%\tbinst.exe' /s -Silent -defaultsearch=true -startpage=true -ctid=ct2319825 -ff -ie -ch -installtype=ConduitIntegration -showpersonalcompdialog=false -openwelcomedialog=false
- '%TEMP%\winload_community_tb.exe' -DefaultSearch=true -StartPage=true -ctid=CT2319825 -ff -ie -ch
- '%TEMP%\tbinst.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\msiexec.exe' -Embedding 897D548E03E11881AD20D0B6710359DF
- '<SYSTEM32>\msiexec.exe' /V
- '<SYSTEM32>\msiexec.exe' /i%TEMP%\billiger.msi /qn
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\~GLH0002.TMP
- %TEMP%\~GLH0001.TMP
- %TEMP%\~GLH0000.TMP
- %WINDIR%\Installer\MSI5.tmp
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
- C:\Config.Msi\267ea.rbs
- %TEMP%\GLC1.tmp
- %TEMP%\billiger.msi
- %TEMP%\winload_community_tb.exe
- %TEMP%\GLM2.tmp
- C:\~GLHTTP1.TMP
- %WINDIR%\Installer\267e7.msi
- %TEMP%\GLG4.tmp
Удаляет следующие файлы:
- C:\Config.Msi\267ea.rbs
- %WINDIR%\Installer\267e7.msi
- %WINDIR%\Installer\MSI5.tmp
- C:\~GLHTTP1.TMP
- %TEMP%\tbinst.exe
Перемещает следующие файлы:
- %TEMP%\~GLH0002.TMP в %TEMP%\tbff.xpi
- %TEMP%\~GLH0001.TMP в %TEMP%\ffunzip.exe
- %TEMP%\~GLH0000.TMP в %TEMP%\tbinst.exe
Сетевая активность:
Подключается к:
- 'ct######5.ourtoolbar.com':80
- 'www.download.windowsupdate.com':80
- 'ci##o.com':80
- 'wp#d':80
- 'www.wi##oad.de':80
- '<IP-адрес в локальной сети>':80
- 'se#######p.conduit-services.com':80
TCP:
Запросы HTTP GET:
- ct######5.ourtoolbar.com/xpi
- ct######5.ourtoolbar.com/ie
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
- ci##o.com/ciuvo/installed?ve#########################################
- ci##o.com/ciuvo/uninstalled?ve#########################################
- wp#d/wpad.dat
- www.wi##oad.dehttp://www.winload.de/winload_sda/download_sda.php?id#######
- www.wi##oad.dehttp://www.winload.de/SDA/Tracker?se####################################################################################
- www.wi##oad.dehttp://www.winload.de/SDA/Tracker?se######################################################################################
- se#######p.conduit-services.com/Toolbar/?ow###############
- <IP-адрес в локальной сети>
UDP:
- DNS ASK ct######5.ourtoolbar.com
- DNS ASK www.download.windowsupdate.com
- DNS ASK ci##o.com
- DNS ASK wp#d
- DNS ASK www.wi##oad.de
- DNS ASK se#######p.conduit-services.com
- 'www.wi##oad.de':0
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
