Trojan.Revizer.194

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\SpeedChecker Update.job

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\SpeedChecker] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'%PROGRAM_FILES%\ver8SpeedChecker\SpeedChecker.exe' /install
'%TEMP%\05D5A968-5337-C4B6-4C5B-4584A2432AF1.exe' /add_task task=updater
'%PROGRAM_FILES%\ver8SpeedChecker\c0SpeedCheckeru86.exe' /install /report event=installed rem=
'%PROGRAM_FILES%\ver8SpeedChecker\o3G.exe'
'%TEMP%\05D5A968-5337-C4B6-4C5B-4584A2432AF1.exe' /install pv= uid= it= arm= armt= eb= rep= rem= rb=0
'%TEMP%\05D5A968-5337-C4B6-4C5B-4584A2432AF1.exe' /ie new=Y
'%PROGRAM_FILES%\ver8SpeedChecker\I0Fz181.exe'

Запускает на исполнение:

'<SYSTEM32>\reg.exe' import "%TEMP%\4.tmp"

Завершает или пытается завершить

следующие пользовательские процессы:

chrome.exe
firefox.exe
iexplore.exe

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKLM>\SYSTEM\ControlSet001\Hardware Profiles\0001\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = 'http=127.0.0.1:13994;https=127.0.0.1:13994'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\ver8SpeedChecker\c0SpeedCheckeru86.exe
%PROGRAM_FILES%\ver8SpeedChecker\SpeedChecker.exe
%PROGRAM_FILES%\ver8SpeedChecker\c0SpeedCheckeru86.dll
%TEMP%\DED4338C-3AA6-EBAB-4CE4-347614592F0F.exe
%TEMP%\05D5A968-5337-C4B6-4C5B-4584A2432AF1.exe
%PROGRAM_FILES%\ver8SpeedChecker\o3G.exe
%PROGRAM_FILES%\ver8SpeedChecker\181.crx
%PROGRAM_FILES%\ver8SpeedChecker\181.dll
%PROGRAM_FILES%\ver8SpeedChecker\181.xpi
%PROGRAM_FILES%\ver8SpeedChecker\I0Fz181.dll
%PROGRAM_FILES%\ver8SpeedChecker\I0Fz181.exe
%TEMP%\bhiddmpilapmahnakdnhmlflphknnkij\icon48.png
%TEMP%\bhiddmpilapmahnakdnhmlflphknnkij\icon16.png
%TEMP%\bhiddmpilapmahnakdnhmlflphknnkij\manifest.json
%PROGRAM_FILES%\ver8SpeedChecker\181.dat
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\user.js
%TEMP%\bhiddmpilapmahnakdnhmlflphknnkij\icon128.png
%TEMP%\4.tmp
%TEMP%\DED4338C-3AA6-EBAB-4CE4-347614592F0F.dll
%TEMP%\bhiddmpilapmahnakdnhmlflphknnkij\b.html
%TEMP%\bhiddmpilapmahnakdnhmlflphknnkij\c.js
%TEMP%\bhiddmpilapmahnakdnhmlflphknnkij\b.js
%PROGRAM_FILES%\ver8SpeedChecker\c1.res
%PROGRAM_FILES%\ver8SpeedChecker\b.res
%PROGRAM_FILES%\ver8SpeedChecker\c1_64.res
%PROGRAM_FILES%\ver8SpeedChecker\c3.res
%PROGRAM_FILES%\ver8SpeedChecker\c2.res
%PROGRAM_FILES%\ver8SpeedChecker\b.db
%TEMP%\nsw3.tmp\g.dll
%TEMP%\nsg2.tmp
%PROGRAM_FILES%\ver8SpeedChecker\I0Fz181.bin
%PROGRAM_FILES%\ver8SpeedChecker\a.db
%PROGRAM_FILES%\ver8SpeedChecker\Sqlite3.dll
%PROGRAM_FILES%\ver8SpeedChecker\tb64.arc
%PROGRAM_FILES%\ver8SpeedChecker\tb32.arc
%PROGRAM_FILES%\ver8SpeedChecker\u.res
%PROGRAM_FILES%\ver8SpeedChecker\Uninstall.exe
%PROGRAM_FILES%\ver8SpeedChecker\u2.res
%PROGRAM_FILES%\ver8SpeedChecker\pw.res
%PROGRAM_FILES%\ver8SpeedChecker\c4_b.res
%PROGRAM_FILES%\ver8SpeedChecker\c4_a.res
%PROGRAM_FILES%\ver8SpeedChecker\p.res
%PROGRAM_FILES%\ver8SpeedChecker\p3.res
%PROGRAM_FILES%\ver8SpeedChecker\p2.res

Удаляет следующие файлы:

%PROGRAM_FILES%\ver8SpeedChecker\u2.res
%PROGRAM_FILES%\ver8SpeedChecker\p.res
%PROGRAM_FILES%\ver8SpeedChecker\b.res
%PROGRAM_FILES%\ver8SpeedChecker\u.res
%TEMP%\4.tmp
%TEMP%\nsw3.tmp\g.dll
%PROGRAM_FILES%\ver8SpeedChecker\p2.res
%PROGRAM_FILES%\ver8SpeedChecker\p3.res
%PROGRAM_FILES%\ver8SpeedChecker\tb64.arc
%PROGRAM_FILES%\ver8SpeedChecker\c2.res
%PROGRAM_FILES%\ver8SpeedChecker\c3.res
%PROGRAM_FILES%\ver8SpeedChecker\c1_64.res
%PROGRAM_FILES%\ver8SpeedChecker\c1.res
%PROGRAM_FILES%\ver8SpeedChecker\pw.res
%PROGRAM_FILES%\ver8SpeedChecker\tb32.arc
%PROGRAM_FILES%\ver8SpeedChecker\c4_a.res
%PROGRAM_FILES%\ver8SpeedChecker\c4_b.res

Сетевая активность:

Подключается к:

'he##.#endevent.net':80
'cd##.#rivemac.net':80
'localhost':13994

TCP:

Запросы HTTP GET:

cd##.#rivemac.net/report/installed/?p=#############################################################################################################################################################################

Запросы HTTP POST: