Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'WebBuying' = '%PROGRAM_FILES%\Web Buying\v1.8.8\webbuying.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\uf49.exe
- <SYSTEM32>\w11\hiba3133.exe
- %PROGRAM_FILES%\Web Buying\v1.8.8\webbuying.exe
- %TEMP%\cmdinst.exe /VERYSILENT
- <SYSTEM32>\a1\tliamdll2.exe child
- <SYSTEM32>\dv6\dblomdrv3.exe
- <SYSTEM32>\a1\tliamdll2.exe
- <SYSTEM32>\p9\liopud89104.exe
- <SYSTEM32>\k5\thgd2241dll.exe
- %TEMP%\cmdinst.exe (загружен из сети Интернет)
Запускает на исполнение:
- <SYSTEM32>\regsvr32.exe
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\Web Buying\v1.8.8\webbuying.exe
- <SYSTEM32>\rcwayna.dll
- %TEMP%\SETUP_29301\RABCOse.exe
- %PROGRAM_FILES%\Web Buying\v1.8.8\wbuninst.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\installer[1].php
- %TEMP%\RABCOSetup.split.2560
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\checkin[1].php
- %TEMP%\cmdinst.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\RABCOSetup[1].split
- <SYSTEM32>\k5\thgd2241dll.exe
- <SYSTEM32>\p9\liopud89104.exe
- <SYSTEM32>\a1\tliamdll2.exe
- <SYSTEM32>\dv6\dblomdrv3.exe
- <SYSTEM32>\w11\hiba3133.exe
- %PROGRAM_FILES%\TTC.dll
- %TEMP%\nsz3.tmp\System.dll
- %TEMP%\uf49.exe
- C:\Temp\1cb\syscheck.log
Удаляет следующие файлы:
- %TEMP%\nsz3.tmp\System.dll
- %TEMP%\RABCOSetup.split
Перемещает следующие файлы:
- %TEMP%\RABCOSetup.split.2560 в %TEMP%\RABCOSetup.split
- %PROGRAM_FILES%\TTC.dll в %PROGRAM_FILES%\ComPlus Applications\tywokywoj89104.dll
Сетевая активность:
Подключается к:
- 'localhost':1042
- 'localhost':1043
- 'cs#.#dservs.com':80
- 'co####d.adservs.com':80
- 'do####ads.rabio.com':80
- 'u.###buying.net':80
TCP:
Запросы HTTP GET:
- u.###buying.net/e/inst.php?d=######################################################################################
- cs#.#dservs.com/checkin.php?af##############################
- co####d.adservs.com/binaries/installer.php?a=##############
- do####ads.rabio.com/software/2C584204-CB02-4DE2-99D0-0866E53A3077/RABCOSetup.split
UDP:
- DNS ASK www.k8#.info
- DNS ASK ym#.####0106.wrs.mcboo.com
- DNS ASK www.we###ying.net
- DNS ASK cs#.#dservs.com
- DNS ASK co####d.adservs.com
- DNS ASK do####ads.rabio.com
- DNS ASK u.###buying.net
Другое:
Ищет следующие окна:
- ClassName: 'IEFRAME' WindowName: 'IFRAME'
- ClassName: 'IEFrame' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Tcloggerd' WindowName: 'loggerd'
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'SysOleClass' WindowName: 'DDE Server'
- ClassName: 'gamerockstar' WindowName: 'grsclass'
- ClassName: 'webbuying' WindowName: 'webbuying'
- ClassName: '.QDebug.' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: '<SYSTEM32>\w11\hiba3133.exe' WindowName: ''
- ClassName: '.AutoUpdate.X_RABCOse' WindowName: ''
