Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'AdBlock2' = ''
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /C copy "%TEMP%\is-1IHG3.tmp\ii4363022i200643222043.exe" "%TEMP%\is-QBGGI.tmp\mC7w5dT7rG.exe"
- '<SYSTEM32>\cmd.exe' /C copy "%TEMP%\is-1IHG3.tmp\ii4363022i200643222043.exe" "<SYSTEM32>\..\AdBlock.exe"
- '%TEMP%\is-JFGMH.tmp\mC7w5dT7rG.tmp' /SL5="$500EE,56832,56832,%TEMP%\is-QBGGI.tmp\mC7w5dT7rG.exe" /VERYSILENT /PASSWORD=963022i2030063092220300920ii /SUPPRESSMSGBOXES /NOCANCEL /CLOSEAPPLICATIONS /FORCECLOSEAPPLICATIONS /RESTARTAP...
- '%TEMP%\is-QBGGI.tmp\mC7w5dT7rG.exe' /VERYSILENT /PASSWORD=963022i2030063092220300920ii /SUPPRESSMSGBOXES /NOCANCEL /CLOSEAPPLICATIONS /FORCECLOSEAPPLICATIONS /RESTARTAPPLICATIONS
- '<SYSTEM32>\schtasks.exe' /Create /sc ONLOGON /TN AdBlock /TR "AdBlock.exe \"/VERYSILENT /START\"" /RL HIGHEST /F
- '%TEMP%\is-1IHG3.tmp\ii4363022i200643222043.exe' /INSTALL /VERYSILENT
- '%TEMP%\is-LVA4S.tmp\<Имя вируса>.tmp' /SL5="$30092,624823,56832,<Полный путь к вирусу>"
- '<SYSTEM32>\cmd.exe' /C SCHTASKS /Create /sc ONLOGON /TN AdBlock /TR "AdBlock.exe \"/VERYSILENT /START\"" /RL HIGHEST /F
- '%TEMP%\is-Q9803.tmp\ii4363022i200643222043.tmp' /SL5="$100E6,56832,56832,%TEMP%\is-1IHG3.tmp\ii4363022i200643222043.exe" /INSTALL /VERYSILENT
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\AdBlock.exe
- %TEMP%\is-QBGGI.tmp\_isetup\_iscrypt.dll
- %TEMP%\is-JFGMH.tmp\mC7w5dT7rG.tmp
- %TEMP%\is-QBGGI.tmp\mC7w5dT7rG.exe
- %TEMP%\is-QBGGI.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-1IHG3.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-LVA4S.tmp\<Имя вируса>.tmp
- %TEMP%\is-Q9803.tmp\ii4363022i200643222043.tmp
- %TEMP%\is-1IHG3.tmp\ii4363022i200643222043.exe
Удаляет следующие файлы:
- %TEMP%\is-QBGGI.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-QBGGI.tmp\_isetup\_iscrypt.dll
- %TEMP%\is-QBGGI.tmp\mC7w5dT7rG.exe
Сетевая активность:
Подключается к:
- 'tr########emutilities.rhcloud.com':80
TCP:
Запросы HTTP GET:
- http://tr########emutilities.rhcloud.com/piwik.php
Запросы HTTP POST:
- http://tr########emutilities.rhcloud.com/piwik.php
UDP:
- DNS ASK tr########emutilities.rhcloud.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
