Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Only-search' = '%APPDATA%\onlysearch\onlysearch\1.3.12.9\onlysearch.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\onlysearch\onlysearch\1.3.12.9\onlysetup.exe'
- '%APPDATA%\onlysearch\onlysearch\1.3.12.9\onlysetup.exe' /instl
Запускает на исполнение:
- '<SYSTEM32>\schtasks.exe' /create /tn "Only-search Udpater" /tr "\"%APPDATA%\onlysearch\onlysearch\1.3.12.9\onlysetup.exe\"" /sc minute /mo 10
- '<SYSTEM32>\schtasks.exe' /create /tn "Only-search" /tr "\"%APPDATA%\onlysearch\onlysearch\1.3.12.9\onlysearch.exe\"" /sc minute /mo 10
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\onlysearch\onlysearch\1.3.12.9\sqlite.dll
- %APPDATA%\onlysearch\onlysearch\1.3.12.9\res.dll
- %APPDATA%\onlysearch\onlysearch\1.3.12.9\serp.js
- %APPDATA%\onlysearch\onlysearch\1.3.12.9\app.ini
- %APPDATA%\onlysearch\onlysearch\1.3.12.9\onlysetup.exe
- %APPDATA%\onlysearch\onlysearch\1.3.12.9\onlysearch.exe
- %APPDATA%\onlysearch\onlysearch\1.3.12.9\GeNeihma.dll
- %APPDATA%\onlysearch\onlysearch\1.3.12.9\jljcv4lk.dll
Сетевая активность:
Подключается к:
- 'localhost':1042
- 'cn##.###lbarservices.com':80
- 'cd#.##ntiera.com':80
- 'localhost':1037
- 're#####.montiera.com':80
- 'localhost':1040
TCP:
Запросы HTTP GET:
- cd#.##ntiera.com/mmc/1.4.5/cnfg/onlysearchkms.js
- re#####.montiera.com/reports/jsRprt.srf?ri########################################################################################################################################################################################################################
- cn##.###lbarservices.com/cnfg/geo.srf?ca#########################
- re#####.montiera.com/reports/jsCnt.srf?ri##############################################################################################
- re#####.montiera.com/reports/jsCnt.srf?ri####################################################################################################
UDP:
- DNS ASK cd#.##ntiera.com
- DNS ASK cn##.###lbarservices.com
- DNS ASK re#####.montiera.com
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'KMS_MAINWND' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
