Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\DllHost.exe' /Processid:{AB8902B4-09CA-4BB6-B78D-A8F59079A8D5}
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\prefs-1.js
- %TEMP%\nseC7E2.tmp\nsProcess.dll
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\places.sqlite-wal
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\sessionstore.bak
- %HOMEPATH%\Desktop\Intenret Explorer.lnk
- %HOMEPATH%\Desktop\360°ІИ«дЇААЖч9.lnk
- %PROGRAM_FILES%\RealPlay\uninst.exe
- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\RealPlay\Uninstall.lnk
- %TEMP%\BjsoNRdX.css.part
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\downloads.sqlite
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\downloads.sqlite-journal
- %APPDATA%\Roaming\Microsoft\Windows\Recent\CustomDestinations\6PS4NKBJ04J7V3ZVJ52G.temp
- %TEMP%\nseC7E2.tmp\ExecCmd.dll
- %TEMP%\nsu19E7.tmp\ShellLink.dll
- %TEMP%\nsu19E7.tmp\System.dll
- %TEMP%\js.log
- <LS_APPDATA>\Mozilla\Firefox\Profiles\zp7tnb55.default\urlclassifier3.sqlite-journal
- %TEMP%\nsjA324.tmp
- %TEMP%\nsj6EBB.tmp\Base64.dll
- %TEMP%\nsuBCAF.tmp
- %TEMP%\nsjAC0B.tmp
- %TEMP%\nsj6EBB.tmp\Inetc.dll
- %TEMP%\nse6EAA.tmp
- %TEMP%\i.rar
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\iplookup[1].php
- %TEMP%\nszC7D1.tmp
- %TEMP%\nsoDB55.tmp
- %TEMP%\nsoD452.tmp
- %PROGRAM_FILES%\RealPlay\Intenret Explorer.ico
- %PROGRAM_FILES%\RealPlay\360°ІИ«дЇААЖч9.ico
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\iplookup[1].php
- %TEMP%\nseC7E2.tmp\Inetc.dll
- %TEMP%\nsoCC65.tmp
- %TEMP%\nseC7E2.tmp\Base64.dll
Удаляет следующие файлы:
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\downloads.sqlite-journal
- %TEMP%\nsu19E7.tmp\System.dll
- %TEMP%\nsu19E7.tmp\ShellLink.dll
- %TEMP%\nseC7E2.tmp\Base64.dll
- %TEMP%\nseC7E2.tmp\nsProcess.dll
- %TEMP%\nseC7E2.tmp\Inetc.dll
- %TEMP%\nseC7E2.tmp\ExecCmd.dll
- <LS_APPDATA>\Mozilla\Firefox\Profiles\zp7tnb55.default\urlclassifier3.sqlite-journal
- %TEMP%\nsuBCAF.tmp
- %TEMP%\nsjAC0B.tmp
- %TEMP%\nsjA324.tmp
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\iplookup[1].php
- %TEMP%\nsoDB55.tmp
- %TEMP%\nsoD452.tmp
- %TEMP%\nsoCC65.tmp
Перемещает следующие файлы:
- %APPDATA%\Roaming\Microsoft\Windows\Recent\CustomDestinations\6PS4NKBJ04J7V3ZVJ52G.temp в %APPDATA%\Roaming\Microsoft\Windows\Recent\CustomDestinations\661ab0ff87cd11.customDestinations-ms
Сетевая активность:
Подключается к:
- 'k.####shengo.net':80
- 'fx####s.mozilla.com':80
- 'do##.albags.cn':22
- 'localhost':49163
- 'in#.###ol.sina.com.cn':80
- 'localhost':49160
- 'do##.0791jc.cn':22
TCP:
Запросы HTTP GET:
- fx####s.mozilla.com/en-US/firefox/headlines.xml
- k.####shengo.net/<Служебное имя>.exe/css1.css
- in#.###ol.sina.com.cn/iplookup/iplookup.php
UDP:
- DNS ASK fx####s.mozilla.com
- DNS ASK do##.albags.cn
- DNS ASK dn#.##ftncsi.com
- DNS ASK in#.###ol.sina.com.cn
- DNS ASK do##.0791jc.cn
- DNS ASK k.####shengo.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'CicLoaderWndClass' WindowName: '(null)'
- ClassName: 'FirefoxMessageWindow' WindowName: '(null)'
