Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\nsc2.tmp\mnhnctrl.exe URL Parts Error~URL Parts Error~~~~URL Parts Error~URL Parts Error~~#~3736~5856~~~~OK~00-00-00-00-00-01~#~OK~~IE~~~~~~65760
- %TEMP%\ydetect.exe
- %TEMP%\nsc2.tmp\YahooChecker2.exe /PID=103 /CHECK=1
Скрывает следующие процессы:
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsc2.tmp\image108.bmp
- %TEMP%\nsc2.tmp\image109.bmp
- %TEMP%\nsc2.tmp\image106.bmp
- %TEMP%\nsc2.tmp\image107.bmp
- %TEMP%\nsc2.tmp\image110.bmp
- %TEMP%\nsc2.tmp\image113.bmp
- %TEMP%\nsc2.tmp\image114.bmp
- %TEMP%\nsc2.tmp\image111.bmp
- %TEMP%\nsc2.tmp\image112.bmp
- %TEMP%\nsc2.tmp\image98.bmp
- %TEMP%\nsc2.tmp\image99.bmp
- %TEMP%\nsc2.tmp\image96.bmp
- %TEMP%\nsc2.tmp\image97.bmp
- %TEMP%\nsc2.tmp\image100.bmp
- %TEMP%\nsc2.tmp\image104.bmp
- %TEMP%\nsc2.tmp\image105.bmp
- %TEMP%\nsc2.tmp\image101.bmp
- %TEMP%\nsc2.tmp\image103.bmp
- %TEMP%\nsc2.tmp\registry.dll
- %TEMP%\nsc2.tmp\GetVersion.dll
- %TEMP%\nsc2.tmp\Math.dll
- %TEMP%\nsc2.tmp\UserInfo.dll
- %TEMP%\nsc2.tmp\YahooChecker2.exe
- %TEMP%\nsc2.tmp\mnhnctrl.exe
- %TEMP%\nsa7.tmp\inetc.dll
- %TEMP%\ydetect.exe
- %TEMP%\nsl5.tmp\System.dll
- %TEMP%\nsc2.tmp\image117.bmp
- %TEMP%\nsc2.tmp\image118.bmp
- %TEMP%\nsc2.tmp\image115.bmp
- %TEMP%\nsc2.tmp\image116.bmp
- %TEMP%\nsc2.tmp\image119.bmp
- %TEMP%\nsc2.tmp\manlib.dll
- %TEMP%\nsc2.tmp\output.txt
- %TEMP%\nsc2.tmp\image120.bmp
- %TEMP%\nsc2.tmp\image121.bmp
- %TEMP%\nsc2.tmp\image94.bmp
- %TEMP%\nsc2.tmp\image40.bmp
- %TEMP%\nsc2.tmp\image40nb.bmp
- %TEMP%\nsc2.tmp\image36.bmp
- %TEMP%\nsc2.tmp\image40a.bmp
- %TEMP%\nsc2.tmp\image41.bmp
- %TEMP%\nsc2.tmp\image54.bmp
- %TEMP%\nsc2.tmp\image57.bmp
- %TEMP%\nsc2.tmp\image44.bmp
- %TEMP%\nsc2.tmp\image48.bmp
- %TEMP%\nsc2.tmp\image13.bmp
- %TEMP%\nsc2.tmp\image14.bmp
- %TEMP%\nsc2.tmp\nsDialogs.dll
- %TEMP%\nsc2.tmp\System.dll
- %TEMP%\nsc2.tmp\image22.bmp
- %TEMP%\nsc2.tmp\image26.bmp
- %TEMP%\nsc2.tmp\image29.bmp
- %TEMP%\nsc2.tmp\image23.bmp
- %TEMP%\nsc2.tmp\image24.bmp
- %TEMP%\nsc2.tmp\image78.bmp
- %TEMP%\nsc2.tmp\image79.bmp
- %TEMP%\nsc2.tmp\image71.bmp
- %TEMP%\nsc2.tmp\image74.bmp
- %TEMP%\nsc2.tmp\image81.bmp
- %TEMP%\nsc2.tmp\image88.bmp
- %TEMP%\nsc2.tmp\image91.bmp
- %TEMP%\nsc2.tmp\image82.bmp
- %TEMP%\nsc2.tmp\image87.bmp
- %TEMP%\nsc2.tmp\image60.bmp
- %TEMP%\nsc2.tmp\image62.bmp
- %TEMP%\nsc2.tmp\image58.bmp
- %TEMP%\nsc2.tmp\image59.bmp
- %TEMP%\nsc2.tmp\image64.bmp
- %TEMP%\nsc2.tmp\image67.bmp
- %TEMP%\nsc2.tmp\image70.bmp
- %TEMP%\nsc2.tmp\image65.bmp
- %TEMP%\nsc2.tmp\image66.bmp
Удаляет следующие файлы:
- %TEMP%\nsa7.tmp\inetc.dll
- %TEMP%\nsc2.tmp\output.txt
- %TEMP%\nsl5.tmp\System.dll
Сетевая активность:
Подключается к:
- 'www.fc###hacars.us':80
TCP:
Запросы HTTP POST:
- www.fc###hacars.us/first_call_v2_21.php
UDP:
- DNS ASK www.fc###hacars.us
Другое:
Ищет следующие окна:
- ClassName: '#32770' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
