Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\PrefJsonCpp.exe' "<LS_APPDATA>\Google\Chrome\User Data\Default\Web Data" "sqlite" "write" "UPDATE meta SET value = '1' WHERE key = 'Default Search Provider ID'"
- '%TEMP%\PrefJsonCpp.exe' "<LS_APPDATA>\Google\Chrome\User Data\Default\Preferences" "json" "default_search_provider" "object" "{ \"enabled\": true, \"encodings\": \"UTF-8\", \"icon_url\": \"http://www.zu##x.com/images/avatar.png\", \"id\": \"1\", \"instant_url\": \"\", \"keyword\": \"WhiteSmoke Search\", \"name\": \"WhiteSmoke Search\", \"prepopulate_id\": \"0\", \"search_terms_replacement_key\": \"\", \"search_url\": \"http://se####.whitesmoke.com/home.php?is###############################", \"suggest_url\": \"\" }"
- '%TEMP%\PrefJsonCpp.exe' "<LS_APPDATA>\Google\Chrome\User Data\Default\Preferences" "json" "session" "object" "{\"restore_on_startup\": 4, \"restore_on_startup_migrated\": true, \"urls_to_restore_on_startup\": [ \"http://se####.whitesmoke.com/home.php?is#########" ] }"
- '%TEMP%\PrefJsonCpp.exe' "<LS_APPDATA>\Google\Chrome\User Data\Default\Web Data" "sqlite" "write" "INSERT INTO keywords ('short_name','keyword','favicon_url','url','safe_for_autoreplace','input_encodings','show_in_default_list') VALUES ('WhiteSmoke Search','WhiteSmoke Search','http://www.zu##x.com/images/avatar.png','http://search.whitesmoke.com/home.php?is#############################################
- '%TEMP%\PrefJsonCpp.exe' "<LS_APPDATA>\Google\Chrome\User Data\Default\Web Data" "sqlite" "select" "SELECT id FROM keywords WHERE keyword = 'WhiteSmoke Search'"
Завершает или пытается завершить
следующие пользовательские процессы:
- iexplore.exe
- chrome.exe
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>\ChromeTabManager\redirect.js
- <LS_APPDATA>\ChromeTabManager\manifest.json
- <LS_APPDATA>\ChromeTabManager\icon.png
- <LS_APPDATA>\ChromeTabManager\redirect.html
- %TEMP%\nsb2.tmp\registry.dll
- %PROGRAM_FILES%\WhiteSmoke Search\uninstall.exe
- <LS_APPDATA>\ChromeTabManager\pageName.js
- %TEMP%\nsb2.tmp\System.dll
- %TEMP%\nsb2.tmp\nsis7z.dll
- %PROGRAM_FILES%\WhiteSmoke Search\icons\uninstall.ico
- %TEMP%\nsb2.tmp\nsProcess.dll
- %TEMP%\nsb2.tmp\UAC.dll
- %TEMP%\nsb2.tmp\version.dll
- %TEMP%\log.txt
- <LS_APPDATA>\ChromeTabManager\ChromeTabManager.crx.7z
- %TEMP%\sqlite3.exe
- %TEMP%\PrefJsonCpp.exe
Удаляет следующие файлы:
- %TEMP%\nsb2.tmp\System.dll
- %TEMP%\nsb2.tmp\UAC.dll
- %TEMP%\nsb2.tmp\version.dll
- %TEMP%\nsb2.tmp\registry.dll
- <LS_APPDATA>\ChromeTabManager\ChromeTabManager.crx.7z
- %TEMP%\nsb2.tmp\nsis7z.dll
- %TEMP%\nsb2.tmp\nsProcess.dll
Другое:
Ищет следующие окна:
- ClassName: '#32770' WindowName: '(null)'
