Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- %PROGRAM_FILES%\intellidownload\torrent.exe "/name=amtlib64_dll_Full_Download" "/publisher=1021" "/sub=" "/search=amtlib64_dll_Full_Download" "/type=search" "/tag=6"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsb3.tmp\inetc.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\get_id[1].php
- %TEMP%\nsb3.tmp\System.dll
- %TEMP%\nsb3.tmp\nsDialogs.dll
- %PROGRAM_FILES%\intellidownload\installid
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\open[1].php
- %PROGRAM_FILES%\intellidownload\status
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\get_cc[1].php
- %PROGRAM_FILES%\intellidownload\cc
- %TEMP%\nsb3.tmp\modern-header.bmp
- %PROGRAM_FILES%\intellidownload\header.bmp
- %PROGRAM_FILES%\intellidownload\header2.bmp
- %PROGRAM_FILES%\intellidownload\torrent.exe
- %PROGRAM_FILES%\intellidownload\gunzip.exe
- %PROGRAM_FILES%\intellidownload\header3.bmp
- %TEMP%\nsb3.tmp\ioSpecial.ini
- %TEMP%\nsb3.tmp\modern-wizard.bmp
- %PROGRAM_FILES%\intellidownload\next.bmp
- %PROGRAM_FILES%\intellidownload\skip.bmp
Удаляет следующие файлы:
- %PROGRAM_FILES%\intellidownload\cc
- %PROGRAM_FILES%\intellidownload\installid
- <SYSTEM32>\wbem\Logs\wbemess.lo_
Сетевая активность:
Подключается к:
- 'tr###.##tellidownload.com':80
TCP:
Запросы HTTP GET:
- tr###.##tellidownload.com/bundleinstaller/open.php?ii#################################################################
- tr###.##tellidownload.com/bundleinstaller/get_cc.php
- tr###.##tellidownload.com/bundleinstaller/get_id.php
UDP:
- DNS ASK tr###.##tellidownload.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '#32770' WindowName: ''
