Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\RollingPop_Service] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\RollingPop\RollingPop_U.exe'
- '%APPDATA%\RollingPop\RollingPop_E.exe' ROLL03
- '%APPDATA%\RollingPop\RollingPop_R.exe' install|ROLL03
- '%APPDATA%\RollingPop\RollingPop_S.exe' ROLL03
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\BVTX1IEY\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\U505S125\desktop.ini
- %WINDIR%\Temp\History\History.IE5\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\IBSFNHWU\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\89ABCDEF\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\IBSFNHWU\update_test[1].htm
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\U505S125\ip[1].php
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\IBSFNHWU\s_run[1].htm
- %APPDATA%\RollingPop\uninst.exe
- %APPDATA%\RollingPop\test.txt
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\89ABCDEF\setting[1].php
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\BVTX1IEY\get_potal[1].php
- %APPDATA%\RollingPop\RollingPop_U.exe
- %APPDATA%\RollingPop\NTVBSvc.tlb
- <SYSTEM32>\MSINET.OCX
- %APPDATA%\RollingPop\RollingPop_E.exe
- %APPDATA%\RollingPop\RollingPop_R.exe
- %APPDATA%\RollingPop\RollingPop_S.exe
- <SYSTEM32>\VB6KO.DLL
- %TEMP%\nss2.tmp\inetc.dll
- <SYSTEM32>\temp.htm
- <SYSTEM32>\Base64.dll
- %TEMP%\nss2.tmp\ip.dll
- %TEMP%\nss2.tmp\IpConfig.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\BVTX1IEY\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\U505S125\desktop.ini
- %WINDIR%\Temp\History\History.IE5\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\IBSFNHWU\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\89ABCDEF\desktop.ini
Удаляет следующие файлы:
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
- <SYSTEM32>\PerfStringBackup.TMP
- %TEMP%\nss2.tmp\IpConfig.dll
- %TEMP%\nss2.tmp\inetc.dll
- %TEMP%\nss2.tmp\ip.dll
Сетевая активность:
Подключается к:
- 'localhost':1043
- 'localhost':1045
- 'a.####ingpop.com':80
- 'localhost':1041
TCP:
Запросы HTTP GET:
- a.####ingpop.com/v2/get_potal.php
- a.####ingpop.com/v2/ip.php
- a.####ingpop.com/v2/s_installer.php?m=#####################
- a.####ingpop.com/v2/setting.php
Запросы HTTP POST:
- a.####ingpop.com/v2/s_run.php
- a.####ingpop.com/update/update_test.php
- a.####ingpop.com/v1/s_install.php
UDP:
- DNS ASK a.####ingpop.com
