Adware.Mutabaha.928

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command] '' = '"%PROGRAM_FILES%\Internet Explorer\iexplore.exe" http://www.yoursites123.com/?type=sc&ts=1451251036&z=MZђ&from=...

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\IhPul] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\TSv\TSvr.exe' -ptid=wpm07173 -si -is
'%APPDATA%\TSv\TSvr.exe'
'%TEMP%\xtmp001\QQBrowser.exe' -ptid=wpm07173
'%TEMP%\xtmp001\ihpul.exe' -ptid=wpm07173 -si

Запускает на исполнение:

'%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://www.yo####tes123.com/?ty##############################################################################################

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\TSv\TSvr.exe
%APPDATA%\TSv\msvcp100.dll
%TEMP%\nsk2.tmp\System.dll
<Текущая директория>\Z
%TEMP%\HomePage.dat
%APPDATA%\TSv\msvcr100.dll
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\up[1].8&uid=<Служебное имя>X<Служебное имя>XIDEXHardXDrive_11000000000000000001&dp=0
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\LBMMC3H3\up[1].8&uid=<Служебное имя>X<Служебное имя>XIDEXHardXDrive_11000000000000000001&dp=0
<SYSTEM32>\en.html
%APPDATA%\TSv\<Служебное имя>X<Служебное имя>XIDEXHardXDrive_11000000000000000001
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\<Служебное имя>X<Служебное имя>XIDEXHardXDrive_11000000000000000001[1].8
%TEMP%\xtmp001\everything.exe
%TEMP%\xtmp001\ihpul.exe
%TEMP%\xtmp001\default_newtabff#5.4.21.xpi
%TEMP%\xtmp001\39.json
%TEMP%\xtmp001\cf.ini
%TEMP%\xtmp001\QQBrowser.exe
%TEMP%\xtmp001\zip.exe
%TEMP%\6298DDD5A8FCA577979A.dat
%TEMP%\xtmp001\xlxbqc
%TEMP%\xtmp001\QQBrowserFrame.dll
%TEMP%\xtmp001\wpm.exe

Удаляет следующие файлы:

%APPDATA%\TSv\<Служебное имя>X<Служебное имя>XIDEXHardXDrive_11000000000000000001
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\LBMMC3H3\up[1].8&uid=<Служебное имя>X<Служебное имя>XIDEXHardXDrive_11000000000000000001&dp=0
%TEMP%\6298DDD5A8FCA577979A.dat
<Текущая директория>\Z

Сетевая активность:

Подключается к:

'localhost':1047
'localhost':1045
'www.th###ilage.com':80
'localhost':1049
'lo#.#ery911.com':80
'xa.###gcloud.com':80
'localhost':1037
'www.yo####tes123.com':80
'localhost':1040

TCP:

Запросы HTTP GET:

http://xa.###gcloud.com/v4/sof-everything/B4AB9037D4814d5a808A20279B407DE2?ac#######################
http://xa.###gcloud.com/v4/sof-everything/B4AB9037D4814d5a808A20279B407DE2?ac################################
http://www.yo####tes123.com/?ty##############################################################################################
http://www.th###ilage.com/searchprotect/up?pt###################################################################################################
http://xa.###gcloud.com/v4/searchprotect/<Служебное имя>X<Служебное имя>XIDEXHardXDrive_11000000000000000001?ac##################################################################################...
http://xa.###gcloud.com/v4/searchprotect/<Служебное имя>X<Служебное имя>XIDEXHardXDrive_11000000000000000001?ac############################################
http://xa.###gcloud.com/v4/sof-installer/<Служебное имя>X<Служебное имя>XIDEXHardXDrive_11000000000000000001?ac###########################################
http://www.yo####tes123.com/logic/z.php
http://xa.###gcloud.com/v4/sof-everything/B4AB9037D4814d5a808A20279B407DE2?ac##############################
http://xa.###gcloud.com/v4/sof-everything/B4AB9037D4814d5a808A20279B407DE2?ac####################################################################################################################...
http://lo#.#ery911.com/install.gif?bu######################################################################################
http://xa.###gcloud.com/v4/sof-installer/<Служебное имя>X<Служебное имя>XIDEXHardXDrive_11000000000000000001?ac##########################################
http://xa.###gcloud.com/v4/sof-installer/<Служебное имя>X<Служебное имя>XIDEXHardXDrive_11000000000000000001?ac#######################################