Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\nsr7.tmp\ns9.tmp' "schtasks" /Create /SC ONLOGON /TN "Video Plus" /TR "%APPDATA%\VideoPlus\VideoPlus.exe start" /RL HIGHEST
- '%APPDATA%\VideoPlus\VideoPlus.exe' start
- '%TEMP%\BinPopup.exe'
- '%TEMP%\nsr7.tmp\ns8.tmp' "schtasks" /Delete /TN "Video Plus" /F
- '%TEMP%\VideoDriversWW.exe'
- '%TEMP%\VideoDriversNVWW.exe'
- '%TEMP%\VideoPlusSilent.exe'
Запускает на исполнение:
- '<SYSTEM32>\schtasks.exe' /Create /SC ONLOGON /TN "Video Plus" /TR "%APPDATA%\VideoPlus\VideoPlus.exe start" /RL HIGHEST
- '<SYSTEM32>\schtasks.exe' /Delete /TN "Video Plus" /F
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyOverride' = '<-loopback>'
- [<HKLM>\SYSTEM\ControlSet001\Hardware Profiles\0001\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = 'http=127.0.0.1:44444;https=127.0.0.1:44444;'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsr7.tmp\SimpleFC.dll
- %APPDATA%\VideoPlus\FiddlerCore.dll
- %APPDATA%\VideoPlus\VideoPlus.exe
- %TEMP%\nsr7.tmp\System.dll
- %TEMP%\nsr7.tmp\IpConfig.dll
- %TEMP%\nsr7.tmp\CPUFeatures.dll
- %TEMP%\nsr7.tmp\inetc2.dll
- %TEMP%\BinPopup.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\binpopup[1]
- %TEMP%\nsr7.tmp\nsExec.dll
- %TEMP%\nsr7.tmp\ns8.tmp
- %TEMP%\nsr7.tmp\ns9.tmp
- %TEMP%\nsj3.tmp\IpConfig.dll
- %TEMP%\nsj3.tmp\inetc2.dll
- %TEMP%\checksum.txt
- %TEMP%\VideoDriversWW.exe
- %TEMP%\nsj3.tmp\System.dll
- %TEMP%\nsj3.tmp\NSISpcre.dll
- %TEMP%\nsl5.tmp\IpConfig.dll
- %TEMP%\nsl5.tmp\inetc2.dll
- %TEMP%\VideoPlusSilent.exe
- %TEMP%\VideoDriversNVWW.exe
- %TEMP%\nsl5.tmp\System.dll
- %TEMP%\nsl5.tmp\NSISpcre.dll
Удаляет следующие файлы:
- %TEMP%\nsr7.tmp\nsExec.dll
- %TEMP%\nsr7.tmp\SimpleFC.dll
- %TEMP%\nsr7.tmp\IpConfig.dll
- %TEMP%\nsr7.tmp\CPUFeatures.dll
- %TEMP%\nsr7.tmp\inetc2.dll
- %TEMP%\VideoPlusSilent.exe
- %TEMP%\BinPopup.exe
- %TEMP%\VideoDriversNVWW.exe
- %TEMP%\nsr7.tmp\System.dll
- %TEMP%\VideoDriversWW.exe
- %TEMP%\nsr7.tmp\ns9.tmp
- %TEMP%\nsj3.tmp\NSISpcre.dll
- %TEMP%\nsj3.tmp\System.dll
- %TEMP%\nsj3.tmp\IpConfig.dll
- %TEMP%\checksum.txt
- %TEMP%\nsj3.tmp\inetc2.dll
- %TEMP%\nsl5.tmp\System.dll
- %TEMP%\nsr7.tmp\ns8.tmp
- %TEMP%\nsl5.tmp\NSISpcre.dll
- %TEMP%\nsl5.tmp\inetc2.dll
- %TEMP%\nsl5.tmp\IpConfig.dll
Сетевая активность:
Подключается к:
- 'localhost':44444
- 'www.bi###pup.com':80
- 'localhost':1039
- 'www.pe###ine.com':80
- 'www.in####suggest.com':80
TCP:
Запросы HTTP GET:
- www.in####suggest.com/postback/?ci###################################################################
- www.bi###pup.com/?ci##############################
- www.pe###ine.com/postback/?ci#####################################################
- www.pe###ine.com/postback/?ci#######################################################
UDP:
- DNS ASK www.bi###pup.com
- DNS ASK www.in####suggest.com
- DNS ASK www.pe###ine.com
Другое:
Ищет следующие окна:
- ClassName: 'IEFrame' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: '' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: '#32770' WindowName: '(null)'
- ClassName: 'SysListView32' WindowName: '(null)'
