Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\DllHost.exe' /Processid:{AB8902B4-09CA-4BB6-B78D-A8F59079A8D5}
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\prefs-1.js
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\sessionstore.bak
- %TEMP%\nseD950.tmp\System.dll
- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PlayGamer\Uninstall.lnk
- %PROGRAM_FILES%\PlayGamer\uninst.exe
- %TEMP%\nso4D2.tmp\NsProcess.dll
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\downloads.sqlite
- %TEMP%\nso4D2.tmp\ExecCmd.dll
- %APPDATA%\Roaming\Microsoft\Windows\Recent\CustomDestinations\NZIBBKPFNY014XCHPCIL.temp
- %TEMP%\nseD950.tmp\ShellLink.dll
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\places.sqlite-wal
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\downloads.sqlite-journal
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\iplookup[1].php
- %TEMP%\i.rar
- %TEMP%\nso51E9.tmp
- %TEMP%\nsj4D1.tmp
- %TEMP%\nso4D2.tmp\Base64.dll
- %TEMP%\nso4D2.tmp\Inetc.dll
- %PROGRAM_FILES%\PlayGamer\Intrenet Explorer.ico
- %HOMEPATH%\Desktop\360°ІИ«дЇААЖч8.lnk
- %HOMEPATH%\Desktop\Intrenet Explorer.lnk
- %TEMP%\nsj6FB7.tmp
- %TEMP%\nsz7FED.tmp
- %PROGRAM_FILES%\PlayGamer\360°ІИ«дЇААЖч8.ico
Удаляет следующие файлы:
- %TEMP%\nso4D2.tmp\Base64.dll
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\downloads.sqlite-journal
- %TEMP%\nso4D2.tmp\ExecCmd.dll
- %TEMP%\nso4D2.tmp\NsProcess.dll
- %TEMP%\nso4D2.tmp\Inetc.dll
- %TEMP%\nsj6FB7.tmp
- %TEMP%\nso51E9.tmp
- %TEMP%\nsz7FED.tmp
- %TEMP%\nseD950.tmp\System.dll
- %TEMP%\nseD950.tmp\ShellLink.dll
Перемещает следующие файлы:
- %APPDATA%\Roaming\Microsoft\Windows\Recent\CustomDestinations\NZIBBKPFNY014XCHPCIL.temp в %APPDATA%\Roaming\Microsoft\Windows\Recent\CustomDestinations\661ab0ff87cd11.customDestinations-ms
Сетевая активность:
Подключается к:
- 'do##.0791jc.cn':21
- 'fx####s.mozilla.com':80
- 'do##.albags.cn':21
- 'k.####shengo.net':80
- 'in#.###ol.sina.com.cn':80
- 'localhost':49159
- 'localhost':49161
TCP:
Запросы HTTP GET:
- fx####s.mozilla.com/en-US/firefox/headlines.xml
- k.####shengo.net/<Служебное имя>.exe/css1.css
- in#.###ol.sina.com.cn/iplookup/iplookup.php
UDP:
- DNS ASK fx####s.mozilla.com
- DNS ASK do##.albags.cn
- DNS ASK dn#.##ftncsi.com
- DNS ASK in#.###ol.sina.com.cn
- DNS ASK k.####shengo.net
- DNS ASK do##.0791jc.cn
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'CicLoaderWndClass' WindowName: '(null)'
- ClassName: 'FirefoxMessageWindow' WindowName: '(null)'
