Trojan.Adkor.245

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Internet Explorer\Extensions\{FA214B13-1A9F-480B-B749-94A566FC59D9}] 'Exec' = 'http://click.dotmap.co.kr/iclick/?a_id=piims_v&m_id=11st'
[<HKCU>\Software\Microsoft\Internet Explorer\Extensions\{8605E9B4-68C1-4ED9-B282-74C1AA3C312E}] 'Exec' = 'http://click.dotmap.co.kr/iclick/?a_id=piims_v&m_id=auction'
[<HKCU>\Software\Microsoft\Internet Explorer\Extensions\{D64A7743-7E62-4002-90EA-80E0671F9902}] 'Exec' = 'http://click.dotmap.co.kr/iclick/?a_id=piims_v&m_id=gmarket'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsPurchaseHelper' = '"%ALLUSERSPROFILE%\Application Data\WindowsPurchaseHelper\windowsphup.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'windowviewcon' = '"%ALLUSERSPROFILE%\Application Data\windowviewcon\windowviewconup.exe"'

Вредоносные функции:

Создает и запускает на исполнение:

'%ALLUSERSPROFILE%\Application Data\windowviewcon\windowviewconup.exe' /it
'%ALLUSERSPROFILE%\Application Data\WindowsPurchaseHelper\windowsphup.exe'
'%ALLUSERSPROFILE%\Application Data\windowviewcon\windowviewconup.exe'
'%TEMP%\WindowsPurchaseHelperSetup_piimsr.exe' /S
'%TEMP%\WindowviewconSetup_piims.exe' /S
'%ALLUSERSPROFILE%\Application Data\WindowsPurchaseHelper\windowsphup.exe' /it

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Desktop\Gё¶ДП.url
%HOMEPATH%\Desktop\Internet Explorer.lnk
%HOMEPATH%\Desktop\їБјЗ.url
%HOMEPATH%\Desktop\11№ш°Ў.url
%ALLUSERSPROFILE%\Application Data\windowviewcon\auction.ico
%ALLUSERSPROFILE%\Application Data\windowviewcon\uninstall.exe
%ALLUSERSPROFILE%\Application Data\windowviewcon\config.cfg
%ALLUSERSPROFILE%\Application Data\windowviewcon\11st.ico
%ALLUSERSPROFILE%\Application Data\windowviewcon\gmarket.ico
%HOMEPATH%\Favorites\Gё¶ДП.url
%TEMP%\nsc8.tmp\InvokeShellVerb.dll
%ALLUSERSPROFILE%\Application Data\windowviewcon\Gё¶ДП.lnk
%ALLUSERSPROFILE%\Application Data\windowviewcon\їБјЗ.lnk
%ALLUSERSPROFILE%\Application Data\windowviewcon\11№ш°Ў.lnk
%HOMEPATH%\Favorites\Links\їБјЗ.url
%HOMEPATH%\Favorites\їБјЗ.url
%HOMEPATH%\Favorites\11№ш°Ў.url
%HOMEPATH%\Favorites\Links\11№ш°Ў.url
%HOMEPATH%\Favorites\Links\Gё¶ДП.url
%TEMP%\nse5.tmp\UAC.dll
%TEMP%\nsu4.tmp
%TEMP%\nse5.tmp\AccessControl.dll
%TEMP%\nse5.tmp\System.dll
%TEMP%\WindowviewconSetup_piims.exe
%TEMP%\nsg2.tmp\lic1.txt
%TEMP%\nsg2.tmp\twoLicense.ini
%TEMP%\WindowsPurchaseHelperSetup_piimsr.exe
%TEMP%\nsg2.tmp\lic2.txt
%ALLUSERSPROFILE%\Application Data\WindowsPurchaseHelper\windowsphup.exe
%TEMP%\nsc8.tmp\KillProcWMI.dll
%TEMP%\nsc8.tmp\AccessControl.dll
%ALLUSERSPROFILE%\Application Data\windowviewcon\windowviewcon.exe
%ALLUSERSPROFILE%\Application Data\windowviewcon\windowviewconup.exe
%TEMP%\nsc8.tmp\System.dll
%ALLUSERSPROFILE%\Application Data\WindowsPurchaseHelper\uninst.exe
%ALLUSERSPROFILE%\Application Data\WindowsPurchaseHelper\windowsph.exe
%TEMP%\nsc8.tmp\UAC.dll
%TEMP%\nsh7.tmp

Удаляет следующие файлы:

%TEMP%\nsc8.tmp\InvokeShellVerb.dll
%TEMP%\nsc8.tmp\AccessControl.dll
%TEMP%\nsc8.tmp\KillProcWMI.dll
%TEMP%\nsc8.tmp\UAC.dll
%TEMP%\nsc8.tmp\System.dll
%TEMP%\nse5.tmp\UAC.dll
%TEMP%\nsg2.tmp\lic2.txt
%TEMP%\nsg2.tmp\lic1.txt
%TEMP%\nsg2.tmp\twoLicense.ini
%TEMP%\nse5.tmp\System.dll
%TEMP%\nse5.tmp\AccessControl.dll

Сетевая активность:

Подключается к:

'www.mu##.co.kr':80

TCP:

Запросы HTTP GET:

http://www.mu##.co.kr/app/windowsph/info/infow.php?pt########
http://www.mu##.co.kr/app/windowviewcon/info/infog.php?pt##############
http://www.mu##.co.kr/count/windowsph/install.php?pt###############################################
http://www.mu##.co.kr/count/windowviewcon/install.php?pt###############################################

UDP: