Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\nsf2.tmp\ymsgr_suite_setup.exe /yfn=yahoo.exe /ybsini=%TEMP%\nsf2.tmp\BOOTST~1.INI
- C:\Extracted\yahoo.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\Software\Yahoo\pager]
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsa4.tmp\System.dll
- %TEMP%\nsf2.tmp\YExecShell.dll
- %TEMP%\nsf2.tmp\ymsgr_suite_setup.exe
- %TEMP%\nsa4.tmp\ymsgr11_us.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ymsgr11_us[1].ini
- %TEMP%\nsa4.tmp\InetLoad_vms.dll
- C:\Extracted\yahoo.exe
- C:\Extracted\framework (1).exe
- %TEMP%\sfx.ini
- %TEMP%\nsf2.tmp\Base64.dll
- %TEMP%\nsf2.tmp\bootstrap.ini
- %TEMP%\nsf2.tmp\System.dll
Удаляет следующие файлы:
- %TEMP%\sfx.ini
Сетевая активность:
Подключается к:
- '67.##5.160.76':80
TCP:
Запросы HTTP GET:
- 67.##5.160.76/ycontent/stats.php?ve###############################################################################################
- 67.##5.160.76/msgr/11/ini/ymsgr11_us.ini
UDP:
- DNS ASK in#####.msg.yahoo.com
- DNS ASK rd.####ware.yahoo.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
