Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'SiteVacuum' = '%PROGRAM_FILES%\EasySearch\SiteVacuumClient.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- %PROGRAM_FILES%\EasySearch\SiteVacuumClient.exe -UpdateLinksToHost
- %PROGRAM_FILES%\EasySearch\SiteVacuumClient.exe -RegServer
- %PROGRAM_FILES%\EasySearch\SiteVacuumClient.exe
- %TEMP%\GLB3.tmp /s4736 <LS_APPDATA>\recfree.exe
- <LS_APPDATA>\recfree.exe /s
- %PROGRAM_FILES%\EasySearch\SiteVacuumClient.exe -InstallFFXPCOM
- <LS_APPDATA>\vlnet1.com_Installer.exe /S /s
- %PROGRAM_FILES%\EasySearch\SiteVacuumClient.exe -AddSearchProvider
- %PROGRAM_FILES%\EasySearch\SiteVacuumClient.exe -StartWithWindows
- %PROGRAM_FILES%\EasySearch\SiteVacuumClient.exe -SetDefaultSearch
Запускает на исполнение:
- %PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://re#####.OurToolbar.com/SetupFinish
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\GLI8.tmp
- %TEMP%\GLG7.tmp
- %PROGRAM_FILES%\recfree\~GLH0001.TMP
- %PROGRAM_FILES%\recfree\~GLH0000.TMP
- %TEMP%\GLB3.tmp
- %PROGRAM_FILES%\EasySearch\uninst.exe
- %TEMP%\GLM5.tmp
- %TEMP%\GLC4.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\list2[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\Activation[1].aspx
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\ConnectionAliveStaticCheck[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ConnectionAliveStaticCheck[1].htm
- %PROGRAM_FILES%\recfree\~GLH0003.TMP
- %PROGRAM_FILES%\recfree\~GLH0002.TMP
- %PROGRAM_FILES%\recfree\INSTALL.LOG
- %PROGRAM_FILES%\Conduit\Community Alerts\~GLH0004.TMP
- %PROGRAM_FILES%\EasySearch\FFExt\chrome\content\sitevacuum.xul
- %PROGRAM_FILES%\EasySearch\MFC42U.DLL
- %PROGRAM_FILES%\EasySearch\tskill.exe
- %PROGRAM_FILES%\EasySearch\SiteVacuumClient.exe
- %PROGRAM_FILES%\EasySearch\SiteVacuumLicense.txt
- <LS_APPDATA>\vlnet1.com_Installer.exe
- %TEMP%\bt78824.bat
- %TEMP%\SearchProviderOptions.ini
- <LS_APPDATA>\recfree.exe
- %PROGRAM_FILES%\EasySearch\FFExt\chrome.manifest
- %PROGRAM_FILES%\EasySearch\WSConfig.ini
- %PROGRAM_FILES%\EasySearch\FFExt\chrome\content\script-injector.js
- %PROGRAM_FILES%\EasySearch\FFExt\install.rdf
- %PROGRAM_FILES%\EasySearch\UpdateHelper.exe
- %PROGRAM_FILES%\EasySearch\SiteVacuumClient.tlb
- %PROGRAM_FILES%\EasySearch\SiteVacuumXPCOM.dll
- %PROGRAM_FILES%\EasySearch\ISiteVacuumXPCOM.xpt
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\bt78824.bat
Удаляет следующие файлы:
- <LS_APPDATA>\vlnet1.com_Installer.exe
- %TEMP%\bt78824.bat
- <LS_APPDATA>\recfree.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\ConnectionAliveStaticCheck[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ConnectionAliveStaticCheck[1].htm
- %TEMP%\GLI8.tmp
- %TEMP%\GLG7.tmp
- %TEMP%\GLM5.tmp
- %TEMP%\GLB3.tmp
- %TEMP%\GLC4.tmp
Сетевая активность:
Подключается к:
- 'localhost':1078
- 'localhost':1081
- 'localhost':1084
- 'localhost':1069
- 'localhost':1072
- 'localhost':1075
- 'localhost':1096
- 'localhost':1099
- 'localhost':1102
- 'localhost':1087
- 'localhost':1090
- 'localhost':1093
- 'localhost':1066
- 'us###.conduit.com':80
- 'vo##.zapto.org':80
- 'localhost':1045
- 'localhost':1036
- 'ap#.##tevacuum.com':80
- 'localhost':1040
- 'localhost':1057
- 'localhost':1060
- 'localhost':1063
- 'localhost':1048
- 'localhost':1051
- 'localhost':1054
TCP:
Запросы HTTP GET:
- vo##.zapto.org/list2.php?id############
- ap#.##tevacuum.com/Panel/ConnectionAliveStaticCheck.htm
- ap#.##tevacuum.com/Panel/Activation.aspx?WS############################
- ap#.##tevacuum.com/Panel/PollingNotifications.aspx?WS############################
UDP:
- DNS ASK vo##.zapto.org
- DNS ASK us###.#sers.conduit.com
- DNS ASK ap#.##tevacuum.com
- DNS ASK us###.conduit.com
Другое:
Ищет следующие окна:
- ClassName: 'IEFrame' WindowName: ''
- ClassName: 'TrayNotifyWnd' WindowName: ''
- ClassName: 'SysPager' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
