Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\OfferBoulevard] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\OfferBoulevard\OfferBoulevardW.exe' "%PROGRAM_FILES%\OfferBoulevard\OfferBoulevard.exe"
- '%PROGRAM_FILES%\OfferBoulevard\OfferBoulevard.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\MetaData\B69D763EB21649DA26F20618312DEE70
- <SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\Content\B69D763EB21649DA26F20618312DEE70
- <SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
- %TEMP%\nsq3.tmp\LinkuryInstallerUtils.dll
- <SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
- <SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
- %WINDIR%\Temp\Cab4.tmp
- <SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
- <SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\MetaData\1F356F4D07FE8C483E769E4586569404
- <SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\Content\1F356F4D07FE8C483E769E4586569404
- %TEMP%\nsq3.tmp\System.dll
- %PROGRAM_FILES%\OfferBoulevard\OfferBoulevardW.exe
- %PROGRAM_FILES%\OfferBoulevard\smia64.exe
- %PROGRAM_FILES%\OfferBoulevard\OfferBoulevard.exe
- %TEMP%\nsa2.tmp
- %TEMP%\nsq3.tmp\UserInfo.dll
- %PROGRAM_FILES%\OfferBoulevard\Resources\ntdisie_32.dll
- %PROGRAM_FILES%\OfferBoulevard\Configs\Timers.xml
- %PROGRAM_FILES%\OfferBoulevard\Resources\ntdis_64.dll
- %PROGRAM_FILES%\OfferBoulevard\DealplyInstallerHelper.dll
- %PROGRAM_FILES%\OfferBoulevard\Resources\ntdis_32.dll
Удаляет следующие файлы:
- %WINDIR%\Temp\Cab4.tmp
Сетевая активность:
Подключается к:
- 'cr#.##modoca.com':80
- 'tr#.##dnightjs.net':80
- 'in#.##dnightjs.net':80
- 'cr#.##ertrust.com':80
- 'cl######arch.linkury.com':80
- 'wp#d':80
- 'www.download.windowsupdate.com':80
TCP:
Запросы HTTP GET:
- cr#.##modoca.com/COMODOCodeSigningCA2.crl
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
- tr#.##dnightjs.net/gettrk_l?pa#########################################################################################
- wp#d/wpad.dat
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
- cr#.##ertrust.com/UTN-USERFirst-Object.crl
UDP:
- DNS ASK tr#.##dnightjs.net
- DNS ASK cr#.##modoca.com
- DNS ASK sv#####ts.linkury.com
- DNS ASK in#.##dnightjs.net
- DNS ASK wp#d
- DNS ASK cl######arch.linkury.com
- DNS ASK cr#.##ertrust.com
- DNS ASK www.download.windowsupdate.com
