Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- %WINDIR%\Installer\MSI6.tmp
Запускает на исполнение:
- %PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://www.fi###tream.com/register/safe-register-trial.php
- <SYSTEM32>\regsvr32.exe /s ""%TEMP%\windll.dll""
- <SYSTEM32>\msiexec.exe /i ""%TEMP%\2011-07-04_15-31-59\~ic30\FileStreamSafeShield_oem.msi""
- <SYSTEM32>\msiexec.exe /V
Изменения в файловой системе:
Создает следующие файлы:
- C:\Config.Msi\1cd7f.rbs
- %WINDIR%\Installer\MSI6.tmp
- %TEMP%\in8.dat
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\5C8DDA36D60247082B142836039F4636
- %WINDIR%\Installer\1cd7c.msi
- %WINDIR%\Installer\MSI4.tmp
- %TEMP%\setB8.tmp
- %TEMP%\129531.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\safe-register-trial[1].php
- %TEMP%\windll.dll
- %TEMP%\2011-07-04_15-32-18\icB6.cab
- %TEMP%\2011-07-04_15-32-18\~ic30\safeshield.exe
- C:\~temphtm.HTM
- %TEMP%\setC7.tmp
- %TEMP%\2011-07-04_15-31-59\icC5.cab
- %TEMP%\2011-07-04_15-31-59\~ic30\FileStreamSafeShield_oem.msi
- %TEMP%\filestream-safeshield-2.1.5.5202.exe
- %TEMP%\nsn2.tmp\NSISdl.dll
- %TEMP%\in3.dat
- %TEMP%\filestream-safeshield-2.1.5.5202.log
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\F5A17C00E427F919C4A49EEF5AD0EE53
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\F5A17C00E427F919C4A49EEF5AD0EE53
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\5C8DDA36D60247082B142836039F4636
- %TEMP%\1b939.msi
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\DC2135CED98D8A4D7C0CEE202BB0B810
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\DC2135CED98D8A4D7C0CEE202BB0B810
Удаляет следующие файлы:
- %TEMP%\2011-07-04_15-32-18\icB6.cab
- C:\~temphtm.HTM
- %TEMP%\setB8.tmp
- %TEMP%\1b939.msi
- %TEMP%\windll.dll
- %TEMP%\nsn2.tmp\NSISdl.dll
- %TEMP%\2011-07-04_15-31-59\~ic30\FileStreamSafeShield_oem.msi
- %TEMP%\129531.ini
- %TEMP%\2011-07-04_15-31-59\icC5.cab
- %WINDIR%\Installer\MSI6.tmp
- %TEMP%\in3.dat
- %TEMP%\setC7.tmp
- %WINDIR%\Installer\1cd7c.msi
- %TEMP%\in8.dat
- %WINDIR%\Installer\MSI4.tmp
- C:\Config.Msi\1cd7f.rbs
Сетевая активность:
Подключается к:
- 'localhost':1038
- 'www.fi###tream.com':80
- 'cu####tversion.us':80
- 'cr#.##obalsign.net':80
TCP:
Запросы HTTP GET:
- cr#.##obalsign.net/ObjectSign.crl
- www.fi###tream.com/register/safe-register-trial.php
- cr#.##obalsign.net/primobject.crl
- cu####tversion.us/version/windows.php?ve###########################################
- cr#.##obalsign.net/Root.crl
UDP:
- DNS ASK www.fi###tream.com
- DNS ASK cr#.##obalsign.net
- DNS ASK cu####tversion.us
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: ''
