Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '946589f7f847301f8eee827f12194b9e' = '"%TEMP%\chost.exe" ..'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '946589f7f847301f8eee827f12194b9e' = '"%TEMP%\chost.exe" ..'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\chost.exe' = '%TEMP%\chost.exe:*:Enabled:chost.exe'
Создает и запускает на исполнение:
- 'C:\Extracted\Opera_20.0.1387.91_Setup_2.exe'
- 'C:\Extracted\Opera_20.0.1387.91_Setup_2.exe' /_ShowProgress
- 'C:\Extracted\7777xxx.exe'
- '%TEMP%\chost.exe'
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%TEMP%\chost.exe" "chost.exe" ENABLE
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\ish226531\images\pause.png
- %TEMP%\ish226531\images\Orange_Button_Hover.png
- %TEMP%\ish226531\images\pause_over.png
- %TEMP%\ish226531\images\play_over.png
- %TEMP%\ish226531\images\play.png
- %TEMP%\ish226531\images\Orange_Button.png
- %TEMP%\ish226531\images\Icon_Generic.png
- %TEMP%\ish226531\images\Grey_Button_Hover.png
- %TEMP%\ish226531\images\Loader.gif
- %TEMP%\ish226531\images\Minus_Hover.png
- %TEMP%\ish226531\images\Minus.png
- %HOMEPATH%\Desktop\Continuer l'installation Opera.lnk
- %TEMP%\ICReinstall_Opera_20.0.1387.91_Setup_2.exe
- %TEMP%\0003A692.log
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\61[1].gif
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\61[1].gif
- %TEMP%\00039E54.log
- %TEMP%\ish226531\images\ProgressBar.png
- %TEMP%\ish226531\images\Progress.png
- %TEMP%\ish226531\images\textbox.png
- %TEMP%\ish226531\bootstrap_11840.html
- %TEMP%\ish226531\locale\FR.locale
- %TEMP%\ish226531\images\Grey_Button.png
- %TEMP%\ish226531\css\sdk-ui\browse.css
- %TEMP%\ish226531\css\main.css
- %TEMP%\ish226531\css\sdk-ui\button.css
- %TEMP%\ish226531\css\sdk-ui\images\button-bg.png
- %TEMP%\ish226531\css\sdk-ui\checkbox.css
- %TEMP%\ish226531\css\ie6_main.css
- C:\Extracted\7777xxx.exe
- %TEMP%\sfx.ini
- C:\Extracted\Opera_20.0.1387.91_Setup_2.exe
- %TEMP%\000374B4.log
- %TEMP%\chost.exe
- %TEMP%\ish226531\images\BG.png
- %TEMP%\ish226531\images\arrow.png
- %TEMP%\ish226531\images\blackarrow.png
- %TEMP%\ish226531\images\Close_Hover.png
- %TEMP%\ish226531\images\Close.png
- %TEMP%\ish226531\form.bmp.Mask
- %TEMP%\ish226531\css\sdk-ui\images\progress-bg.png
- %TEMP%\ish226531\css\sdk-ui\images\progress-bg-corner.png
- %TEMP%\ish226531\css\sdk-ui\images\progress-bg2.png
- %TEMP%\ish226531\csshover3.htc
- %TEMP%\ish226531\css\sdk-ui\progress-bar.css
Удаляет следующие файлы:
- %TEMP%\00039E54.log
- %TEMP%\0003A692.log
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\61[1].gif
- %TEMP%\sfx.ini
- %TEMP%\000374B4.log
- %TEMP%\ish226531\bootstrap_11840.html
Сетевая активность:
Подключается к:
- 'ge#.##o.opera.com':80
- 'ja#####emi.no-ip.biz':5552
- 'www.01##t.com':80
- 'localhost':1037
- 'os.####chargercdn.com':80
TCP:
Запросы HTTP GET:
- ge#.##o.opera.com/pub/opera/desktop/20.0.1387.91/win/Opera_20.0.1387.91_Setup.exe
- www.01##t.com//images/logiciel/61.gif
Запросы HTTP POST:
- os.####chargercdn.com/TeleCharger_v2/?v=###############
UDP:
- DNS ASK ja#####emi.no-ip.biz
- DNS ASK os#.###echargercdn.com
- DNS ASK ge#.##o.opera.com
- DNS ASK os.####chargercdn.com
- DNS ASK www.01##t.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
