Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\is-HFJ29.tmp\installutil.exe ie "%PROGRAM_FILES%\PageTheme\PageTheme.dll"
- %PROGRAM_FILES%\PageTheme\installutil.exe send FarmVille
- %TEMP%\is-HFJ29.tmp\killer.exe firefox.exe chrome.exe safari.exe iexplore.exe
- %TEMP%\RarSFX0\PageThemeSetup.exe /verysilent
- %TEMP%\is-RUSKL.tmp\PageThemeSetup.tmp /SL5="$10102,239501,54272,%TEMP%\RarSFX0\PageThemeSetup.exe" /verysilent
Запускает на исполнение:
- <SYSTEM32>\regsvr32.exe /s "%PROGRAM_FILES%\PageTheme\PageTheme.dll"
Завершает или пытается завершить
следующие пользовательские процессы:
- iexplore.exe
- chrome.exe
- firefox.exe
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\IpLocator[1].htm
- %PROGRAM_FILES%\PageTheme\is-4VLH0.tmp
- %PROGRAM_FILES%\PageTheme\chrome\is-U4IOL.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ip[1].php
- %PROGRAM_FILES%\PageTheme\GUID.ini
- <SYSTEM32>\is-83335.tmp
- %PROGRAM_FILES%\PageTheme\is-HORRT.tmp
- %PROGRAM_FILES%\PageTheme\chrome\is-OHTM9.tmp
- %PROGRAM_FILES%\PageTheme\unins000.dat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\success[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\links[1].txt
- %ALLUSERSPROFILE%\Start Menu\Programs\PageTheme\Uninstall.lnk
- %PROGRAM_FILES%\PageTheme\chrome\is-FRNUI.tmp
- %PROGRAM_FILES%\PageTheme\chrome\is-0CLD6.tmp
- %PROGRAM_FILES%\PageTheme\chrome\is-IDJGL.tmp
- %TEMP%\is-HFJ29.tmp\sutil32.dll
- %TEMP%\is-HFJ29.tmp\killer.exe
- %PROGRAM_FILES%\PageTheme\is-93U1C.tmp
- %TEMP%\is-HFJ29.tmp\_isetup\_shfoldr.dll
- %TEMP%\RarSFX0\PageThemeSetup.exe
- %TEMP%\is-RUSKL.tmp\PageThemeSetup.tmp
- %TEMP%\is-HFJ29.tmp\_isetup\_RegDLL.tmp
- %TEMP%\is-HFJ29.tmp\A5DCA3F5-ED5A-4ed3-9671-DBB0C68FA469\is-RNJT2.tmp
- %PROGRAM_FILES%\PageTheme\is-IJ8PO.tmp
- %PROGRAM_FILES%\PageTheme\is-UA09E.tmp
- %TEMP%\is-HFJ29.tmp\installutil.exe
- %PROGRAM_FILES%\PageTheme\is-7JNGL.tmp
- %TEMP%\is-HFJ29.tmp\A5DCA3F5-ED5A-4ed3-9671-DBB0C68FA469\is-A848N.tmp
- %TEMP%\is-HFJ29.tmp\A5DCA3F5-ED5A-4ed3-9671-DBB0C68FA469\content\is-2AD97.tmp
- %TEMP%\is-HFJ29.tmp\A5DCA3F5-ED5A-4ed3-9671-DBB0C68FA469\content\is-9IMB3.tmp
Удаляет следующие файлы:
- %TEMP%\is-HFJ29.tmp\_isetup\_RegDLL.tmp
- %TEMP%\is-HFJ29.tmp\sutil32.dll
- %TEMP%\is-HFJ29.tmp\killer.exe
- %TEMP%\RarSFX0\PageThemeSetup.exe
- %TEMP%\is-RUSKL.tmp\PageThemeSetup.tmp
- %TEMP%\is-HFJ29.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-HFJ29.tmp\installutil.exe
- %TEMP%\is-HFJ29.tmp\A5DCA3F5-ED5A-4ed3-9671-DBB0C68FA469\chrome.manifest
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\IpLocator[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ip[1].php
- %TEMP%\is-HFJ29.tmp\A5DCA3F5-ED5A-4ed3-9671-DBB0C68FA469\install.rdf
- %TEMP%\is-HFJ29.tmp\A5DCA3F5-ED5A-4ed3-9671-DBB0C68FA469\content\overlay.js
- %TEMP%\is-HFJ29.tmp\A5DCA3F5-ED5A-4ed3-9671-DBB0C68FA469\content\ff-overlay.xul
Сетевая активность:
Подключается к:
- 'localhost':1039
- 'www.ge###tes.com':80
- 'pa###theme.com':80
TCP:
Запросы HTTP GET:
- pa###theme.com/success.html
- pa###theme.com/links.txt
- pa###theme.com/facerage/php/usersdb.php?id################################################################################################################
- pa###theme.com/facerage/php/ip.php
- www.ge###tes.com/IpLocator.htm?Ge################################################
UDP:
- DNS ASK im####.page-theme.com
- DNS ASK www.ge###tes.com
- DNS ASK pa###theme.com
Другое:
Ищет следующие окна:
- ClassName: 'IEFrame' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: ''
