Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'a474c6d2b75d64b3ed1078b377b83c48' = '"%WINDIR%\svchost.exe" ..'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'a474c6d2b75d64b3ed1078b377b83c48' = '"%WINDIR%\svchost.exe" ..'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\JAVA.exe
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%WINDIR%\svchost.exe' = '%WINDIR%\svchost.exe:*:Enabled:svchost.exe'
Создает и запускает на исполнение:
- '%WINDIR%\svchost.exe'
- '%TEMP%\hotspotshield-setup.exe'
- '%TEMP%\JAVA.exe'
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%WINDIR%\svchost.exe" "svchost.exe" ENABLE
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsz5.tmp\nsisunz.dll
- %TEMP%\nsz5.tmp\nsis7z.dll
- %TEMP%\nsz5.tmp\f40368059830399ce8189100003d317f2739d087.dll
- %TEMP%\nsz5.tmp\step_d.lua
- %TEMP%\nsz5.tmp\step2.lua
- %TEMP%\nsz5.tmp\extension.tlb
- %TEMP%\nsz5.tmp\87a5250e7389d052be3fdc257872ebd873ef2deb.dll
- %TEMP%\nsz5.tmp\920f8f5815b381ea692e9e7c2f7119f2b1aa620a
- %TEMP%\nsz5.tmp\526e1aa5c4ffd23f07dd88b5fb40e6f2e034caef
- %TEMP%\nsz5.tmp\bf87348c373b422b894b2aa91466db367ea80aaa
- %TEMP%\nsz5.tmp\1feb3ea612cdf9b90056427956a6421e260272ab.dll
- %TEMP%\nsz5.tmp\142f817c3ec0586de0f960c1c0483043b61a0d06
- %TEMP%\nsz5.tmp\9ed037b84943c4caa3a520e48a5540181c46c98c
- %HOMEPATH%\Start Menu\Programs\Administrative Tools\desktop.ini
- %HOMEPATH%\My Documents\My Videos\Desktop.ini
- %TEMP%\nsz5.tmp\UACInfo.dll
- %TEMP%\nsz5.tmp\__web.xml
- %TEMP%\nsz5.tmp\un.package.exe
- %TEMP%\nsz5.tmp\FloatingProgress.dll
- %TEMP%\nsz5.tmp\version.dll
- %TEMP%\nsz5.tmp\skin\res\common.js
- %TEMP%\nsz5.tmp\skin\res\jquery.js
- %TEMP%\nsz5.tmp\stepInt.lua
- %TEMP%\nsz5.tmp\stepAdv.lua
- %TEMP%\nsz5.tmp\skin\res\knockout.js
- %TEMP%\nsz5.tmp\skin\res\common.css
- %TEMP%\nsz5.tmp\step1.lua
- %TEMP%\nsz5.tmp\LuaBridge.dll
- %TEMP%\nsz5.tmp\LuaXml_lib.dll
- %TEMP%\nsz5.tmp\7d4b85d62fb353e7a43256f40d539ceb6fd06006
- %TEMP%\nsz5.tmp\897d21056a341314b60764c31b36c1fad542e78a
- %TEMP%\nsz5.tmp\c6d51ab09f96b7569326130e860517b7d87e866d
- %TEMP%\nsz5.tmp\lua51.dll
- %TEMP%\aut2.tmp
- %TEMP%\JAVA.exe
- %TEMP%\aut1.tmp
- %TEMP%\nsz5.tmp\System.dll
- %TEMP%\nse4.tmp
- %TEMP%\hotspotshield-setup.exe
- %TEMP%\nsz5.tmp\2ef40efb3ce47d8141682e9cd50f9848be24fcd8
- %TEMP%\nsz5.tmp\1db41df8dccf7e3b03a1b1cd221519090170ae52
- %TEMP%\nsz5.tmp\a2a55e68a147ddb026454c38213bc01a3979f52c
- %TEMP%\nsz5.tmp\21bf231e6241de6c31600941d84be38815e28488
- %WINDIR%\svchost.exe
- %TEMP%\nsz5.tmp\6ee341160694a1164db3bdcdb8a5bdf67cb8e295
- %TEMP%\nsz5.tmp\05d97e6e9834ccf063c552e404b9ecafc5e4d662
- %TEMP%\nsz5.tmp\a317db596f44efe64d2468fcc06f25e9e5c24881
- %TEMP%\nsz5.tmp\f45008e3c900e7920effac3ed6f377dd0caf0cf1
- %TEMP%\nsz5.tmp\7b33b2bde409277581a53da83ac5b1bfdcf29afa
- %TEMP%\nsz5.tmp\c1c6244f2ae1702a3000c622f7096790af0fce54
- %TEMP%\nsz5.tmp\c27913efc6edcc938c504fa24651c7f3d95f51cc
- %TEMP%\nsz5.tmp\fb9a971095becfd9b1e850eb6279c1348b614289
Присваивает атрибут 'скрытый' для следующих файлов:
- %HOMEPATH%\My Documents\My Videos\Desktop.ini
Удаляет следующие файлы:
- %TEMP%\aut2.tmp
- %TEMP%\aut1.tmp
Сетевая активность:
Подключается к:
- 'ja###.no-ip.biz':5010
- 'do#####d.webinstall.com':80
TCP:
Запросы HTTP GET:
- do#####d.webinstall.com/external-install?br##############################################
UDP:
- DNS ASK ja###.no-ip.biz
- DNS ASK do#####d.webinstall.com
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: '#32770' WindowName: '(null)'
- ClassName: 'SysListView32' WindowName: '(null)'
