Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\DllHost.exe' /Processid:{AB8902B4-09CA-4BB6-B78D-A8F59079A8D5}
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\sessionstore.bak
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\prefs-1.js
- %TEMP%\__0dWuSr.css.part
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\places.sqlite-wal
- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PlayMovie\Uninstall.lnk
- %HOMEPATH%\Desktop\Intenret Explorer.lnk
- %TEMP%\nszBC9B.tmp\nsProcess.dll
- %PROGRAM_FILES%\PlayMovie\uninst.exe
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\downloads.sqlite
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\downloads.sqlite-journal
- %APPDATA%\Roaming\Microsoft\Windows\Recent\CustomDestinations\V90EP68A17NML1DVDCQT.temp
- %TEMP%\nszBC9B.tmp\ExecCmd.dll
- %TEMP%\nsjE62.tmp\ShellLink.dll
- %TEMP%\nsjE62.tmp\System.dll
- %TEMP%\js.log
- <LS_APPDATA>\Mozilla\Firefox\Profiles\zp7tnb55.default\urlclassifier3.sqlite-journal
- %TEMP%\nseAC29.tmp
- %TEMP%\nseA3EE.tmp
- %TEMP%\nszBC9B.tmp\Inetc.dll
- %TEMP%\nszB3A9.tmp
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\iplookup[1].php
- %TEMP%\nst7224.tmp\Inetc.dll
- %TEMP%\nst7224.tmp\Base64.dll
- %TEMP%\i.rar
- %PROGRAM_FILES%\PlayMovie\360°ІИ«дЇААЖч9.ico
- %TEMP%\nszCD41.tmp
- %HOMEPATH%\Desktop\360°ІИ«дЇААЖч9.lnk
- %PROGRAM_FILES%\PlayMovie\Intenret Explorer.ico
- %TEMP%\nszBC9B.tmp\Base64.dll
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\iplookup[1].php
- %TEMP%\nseC6AB.tmp
- %TEMP%\nsuBF6A.tmp
Удаляет следующие файлы:
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\downloads.sqlite-journal
- <LS_APPDATA>\Mozilla\Firefox\Profiles\zp7tnb55.default\urlclassifier3.sqlite-journal
- %TEMP%\nsjE62.tmp\System.dll
- %TEMP%\nszBC9B.tmp\Base64.dll
- %TEMP%\nszBC9B.tmp\nsProcess.dll
- %TEMP%\nszBC9B.tmp\Inetc.dll
- %TEMP%\nszBC9B.tmp\ExecCmd.dll
- %TEMP%\nsjE62.tmp\ShellLink.dll
- %TEMP%\nszB3A9.tmp
- %TEMP%\nseAC29.tmp
- %TEMP%\nseA3EE.tmp
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\iplookup[1].php
- %TEMP%\nszCD41.tmp
- %TEMP%\nseC6AB.tmp
- %TEMP%\nsuBF6A.tmp
Перемещает следующие файлы:
- %APPDATA%\Roaming\Microsoft\Windows\Recent\CustomDestinations\V90EP68A17NML1DVDCQT.temp в %APPDATA%\Roaming\Microsoft\Windows\Recent\CustomDestinations\661ab0ff87cd11.customDestinations-ms
Сетевая активность:
Подключается к:
- 'k.####shengo.net':80
- 'fx####s.mozilla.com':80
- 'do##.albags.cn':22
- 'localhost':49163
- 'in#.###ol.sina.com.cn':80
- 'localhost':49160
- 'do##.0791jc.cn':22
TCP:
Запросы HTTP GET:
- fx####s.mozilla.com/en-US/firefox/headlines.xml
- k.####shengo.net/<Служебное имя>.exe/css1.css
- in#.###ol.sina.com.cn/iplookup/iplookup.php
UDP:
- DNS ASK fx####s.mozilla.com
- DNS ASK do##.albags.cn
- DNS ASK dn#.##ftncsi.com
- DNS ASK in#.###ol.sina.com.cn
- DNS ASK do##.0791jc.cn
- DNS ASK k.####shengo.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'CicLoaderWndClass' WindowName: '(null)'
- ClassName: 'FirefoxMessageWindow' WindowName: '(null)'
