Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\ish162234\images\skip-button.png
- %TEMP%\ish162234\images\progress-bg.png
- %TEMP%\ish162234\images\Software.png
- %TEMP%\ish162234\locale\EN.locale
- %TEMP%\ish162234\license.txt
- %TEMP%\ish162234\images\icon.png
- %TEMP%\ish162234\images\finish_button.jpg
- %TEMP%\ish162234\images\loader.gif
- %TEMP%\ish162234\images\next-button.png
- %TEMP%\ish162234\images\next-button-over.png
- %TEMP%\is415804647\2005365417.cfg
- %TEMP%\00029CE2.log
- %HOMEPATH%\Desktop\Continue FoxTab PDF Converter Installation.lnk
- %TEMP%\ICReinstall_<Имя вируса>.exe
- %TEMP%\ish162234\bootstrap_41621.html
- %TEMP%\ish162234\sdk\exceptlist.txt
- %PROGRAM_FILES%\is170109.log
- %TEMP%\is415804647\2014260129.cfg
- %TEMP%\00029B8A.log
- %TEMP%\ish162234\images\finish-button.png
- %TEMP%\ish162234\css\sdk-ui\button.css
- %TEMP%\ish162234\css\sdk-ui\browse.css
- %TEMP%\ish162234\css\sdk-ui\checkbox.css
- %TEMP%\ish162234\css\sdk-ui\images\progress-bg.png
- %TEMP%\ish162234\css\sdk-ui\images\button-bg.png
- %TEMP%\ish162234\blank.gif
- %TEMP%\0002796C.log
- %TEMP%\ish162234\css\buttons.css
- %TEMP%\ish162234\css\main.css
- %TEMP%\ish162234\css\ie6_main.css
- %TEMP%\ish162234\defaultOffer\US\offer_html.dat
- %TEMP%\ish162234\defaultOffer\US\offer_code.dat
- %TEMP%\ish162234\images\back-button.png
- %TEMP%\ish162234\images\close_button.png
- %TEMP%\ish162234\images\Bg.jpg
- %TEMP%\ish162234\defaultOffer\offer_code.dat
- %TEMP%\ish162234\css\sdk-ui\progress-bar.css
- %TEMP%\ish162234\defaultOffer\offer_code.txt
- %TEMP%\ish162234\defaultOffer\offer_html.txt
- %TEMP%\ish162234\defaultOffer\offer_html.dat
Удаляет следующие файлы:
- %TEMP%\ish162234\bootstrap_41621.html
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
- <SYSTEM32>\PerfStringBackup.TMP
- %TEMP%\00029CE2.log
- %TEMP%\0002796C.log
- %PROGRAM_FILES%\is170109.log
- %TEMP%\00029B8A.log
Сетевая активность:
Подключается к:
- 'cd###.#ebfilescdn.com':80
- 'os.###filescdn.com':80
TCP:
Запросы HTTP GET:
- cd###.#ebfilescdn.com/Prod/PDFCreator-v2.cis
Запросы HTTP POST:
- os.###filescdn.com/fxaff/v1.0.1/?v=###############
UDP:
- DNS ASK cd###.#ebfilescdn.com
- DNS ASK os.###filescdn.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
