Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\Installer_ytd.job
- %WINDIR%\Tasks\Installer_sm.job
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\Install_32296\shopperpro.exe' /S /pixguid=2dcc19d0-914c-41b9-ba3b-84ac1de0955d /sparam=E@Dzdefytd1 /nochrome /driver /SETUP /ChromeExtFile=ShopperPro.crx /ChromeExtID=ojhagnahfpegocdhlopgljpaafeogmcc
- '%TEMP%\nsm3.tmp\DC<Имя вируса>.exe' /S
- '%TEMP%\Install_32296\shopperpro.exe' (загружен из сети Интернет)
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\Install_32296\shopperpro.exe
- %TEMP%\nsm3.tmp\DC<Имя вируса>.exe
- <LS_APPDATA>\Installer\Installytd_3869\DC<Имя вируса>.exe
- <LS_APPDATA>\Installer\Installsm_11326\DC<Имя вируса>.exe
- %TEMP%\nsm3.tmp\D1989.dll
- %TEMP%\nsm3.tmp\NK.lky
- %TEMP%\nsm2.tmp
- %TEMP%\nsm3.tmp\System.dll
- %TEMP%\nsm3.tmp\7CAC07B67A448350
Удаляет следующие файлы:
- %TEMP%\nsm3.tmp\NK.lky
- %TEMP%\nsm3.tmp\System.dll
- %TEMP%\nsm3.tmp\DC<Имя вируса>.exe
- %TEMP%\nsm3.tmp\7CAC07B67A448350
- %TEMP%\nsm3.tmp\D1989.dll
Сетевая активность:
Подключается к:
- 's3.###zonaws.com':80
- 'd1#######0c4u2.cloudfront.net':80
- 'd1#######d84jx.cloudfront.net':80
TCP:
Запросы HTTP GET:
- s3.###zonaws.com/shopper-pro/ShopperProJSFull.exe
- d1#######0c4u2.cloudfront.net/p.ashx?e=############################################################################################################################################################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=########################################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=################################################################################################################################################################################################################################################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=########################################################################################################################################################################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=########################################################################################################################################################################################################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=########################################################################################################################################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=################################################################################################################################################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=########################################################################################################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=################################################################################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=################################################################################################################################################################################################
- d1#######d84jx.cloudfront.net/t.ashx?e=########################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=########################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=############################################################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=################################################################################################################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=############################################################################################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=############################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=################################################################################################################################################################################################################################################################
UDP:
- DNS ASK do######.ytdownloader.com
- DNS ASK yt##########.s3-website-us-east-1.amazonaws.com
- DNS ASK s3.###zonaws.com
- DNS ASK d1#######d84jx.cloudfront.net
- DNS ASK d1#######0c4u2.cloudfront.net
Другое:
Ищет следующие окна:
- ClassName: 'ari\safari.exe' WindowName: ''
- ClassName: 'Ȭ' WindowName: ''
- ClassName: '쏢냐ŀؘ' WindowName: ''
- ClassName: '??????' WindowName: ''
- ClassName: '?' WindowName: ''
- ClassName: '랰D' WindowName: ''
- ClassName: '?D' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'SB_download_btn' WindowName: 'SB Download Button'
