Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\alluninstall.exe'
- '<SYSTEM32>\TopBarSetup2.EXE'
- '<SYSTEM32>\appunreg.exe'
- '<SYSTEM32>\HotWell.exe'
- '<SYSTEM32>\alluninstall.exe' (загружен из сети Интернет)
- '<SYSTEM32>\TopBarSetup2.EXE' (загружен из сети Интернет)
- '<SYSTEM32>\HotWell.exe' (загружен из сети Интернет)
- '<SYSTEM32>\appunreg.exe' (загружен из сети Интернет)
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\TopBarSetup2[1].EXE
- <SYSTEM32>\appunreg.exe
- <SYSTEM32>\TopBarSetup2.EXE
- <SYSTEM32>\alluninstall.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\alluninstall[1].exe
- <Текущая директория>\tinstenv.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\tinstenv[1].ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\HotWell[1].exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\appunreg[1].exe
- <SYSTEM32>\HotWell.exe
Сетевая активность:
Подключается к:
- '22#.#43.43.217':80
- 'localhost':1038
- '22#.#43.43.195':80
TCP:
Запросы HTTP GET:
- 22#.#43.43.217/PUB/IESG/Upgrade/appunreg.exe
- 22#.#43.43.217/PUB/IESG/Install/TopBarSetup2.EXE
- 22#.#43.43.217/Upgrade/Install/alluninstall.exe
- 22#.#43.43.195/PRJSRC/tsvc/set_install.php
- 22#.#43.43.217/PUB/JDKS/Upgrade/tinstenv.ini
- 22#.#43.43.217/PUB/IEPU/Install/HotWell.exe
