Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%HOMEPATH%\Apluser\ListLook.exe'
- '%HOMEPATH%\Apluser\JavaSetup.exe'
- '%HOMEPATH%\Apluser\iSvchost.exe'
- '%HOMEPATH%\Apluser\Update.exe'
- '%HOMEPATH%\Apluser\iPlug.exe'
- '%HOMEPATH%\Apluser\iGB.exe'
- '%HOMEPATH%\Apluser\iLive.exe'
- '%HOMEPATH%\Apluser\AntiAV2012.cpl'
- '%HOMEPATH%\Apluser\Defencer2011.exe'
- '%HOMEPATH%\Apluser\iGB.exe' (загружен из сети Интернет)
- '%HOMEPATH%\Apluser\Update.exe' (загружен из сети Интернет)
- '%HOMEPATH%\Apluser\iPlug.exe' (загружен из сети Интернет)
- '%HOMEPATH%\Apluser\AntiAV2012.cpl' (загружен из сети Интернет)
- '%HOMEPATH%\Apluser\iSvchost.exe' (загружен из сети Интернет)
- '%HOMEPATH%\Apluser\iLive.exe' (загружен из сети Интернет)
- '%HOMEPATH%\Apluser\JavaSetup.exe' (загружен из сети Интернет)
- '%HOMEPATH%\Apluser\ListLook.exe' (загружен из сети Интернет)
- '%HOMEPATH%\Apluser\Defencer2011.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' /s "%HOMEPATH%\Apluser\iScuderia.dll"
- '<SYSTEM32>\cmd.exe' /c "%HOMEPATH%\Apluser\start.bat"
- '<SYSTEM32>\attrib.exe' +S +H %HOMEPATH%\Apluser
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ListLook[1].css
- %HOMEPATH%\Apluser\ListLook.exe
- %HOMEPATH%\Apluser\JavaSetup.exe
- %HOMEPATH%\Apluser\iSvchost.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\JavaSetup[1].css
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\iGB[1].css
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\Update[1].css
- %HOMEPATH%\Apluser\Update.exe
- %HOMEPATH%\Apluser\iPlug.exe
- %HOMEPATH%\Apluser\iGB.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\iPlug[1].css
- %HOMEPATH%\Apluser\start.bat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\iScuderia[1].css
- %HOMEPATH%\Apluser\AntiAV2012.cpl
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\AntiAV2012[1].css
- %HOMEPATH%\Apluser\iScuderia.dll
- %HOMEPATH%\Apluser\iLive.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\iSvchost[1].css
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\iLive[1].css
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\Defencer2011[1].css
- %HOMEPATH%\Apluser\Defencer2011.exe
Удаляет следующие файлы:
- %TEMP%\~DF2EE4.tmp
Сетевая активность:
Подключается к:
- 'mx#####ds.nhlfan.net':80
- 'localhost':1036
TCP:
Запросы HTTP GET:
- mx#####ds.nhlfan.net/iqc/ListLook.css
- mx#####ds.nhlfan.net/iqc/JavaSetup.css
- mx#####ds.nhlfan.net/iqc/iGB.css
- mx#####ds.nhlfan.net/iqc/Update.css
- mx#####ds.nhlfan.net/iqc/iPlug.css
- mx#####ds.nhlfan.net/iqc/iScuderia.css
- mx#####ds.nhlfan.net/iqc/AntiAV2012.css
- mx#####ds.nhlfan.net/iqc/Defencer2011.css
- mx#####ds.nhlfan.net/iqc/iSvchost.css
- mx#####ds.nhlfan.net/iqc/iLive.css
UDP:
- DNS ASK mx#####ds.nhlfan.net
