Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- "%TEMP%\11296" (загружен из сети Интернет)
- "%TEMP%\14120" (загружен из сети Интернет)
- "%TEMP%\8472" (загружен из сети Интернет)
- "%TEMP%\2824" (загружен из сети Интернет)
- "%TEMP%\5648" (загружен из сети Интернет)
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\5648
- %TEMP%\2824
- %TEMP%\8472
- %TEMP%\14120
- %TEMP%\11296
- %TEMP%\nsw2.tmp\NSISdl.dll
- %TEMP%\nsw2.tmp\System.dll
- %TEMP%\nsw2.tmp\regb
- %TEMP%\nsw2.tmp\whtsmkcmpnnts.exe
- %TEMP%\nsw2.tmp\rep
Удаляет следующие файлы:
- %TEMP%\nsw2.tmp\regb
- %TEMP%\nsw2.tmp\NSISdl.dll
- %TEMP%\nsw2.tmp\rep
- %TEMP%\nsw2.tmp\whtsmkcmpnnts.exe
- %TEMP%\nsw2.tmp\System.dll
- %TEMP%\5648
- %TEMP%\2824
- %TEMP%\8472
- %TEMP%\14120
- %TEMP%\11296
Сетевая активность:
Подключается к:
- 'c4#####.r71.cf2.rackcdn.com':80
- 'c6#####.r40.cf2.rackcdn.com':80
- 'www.in####t-find.com':80
- 'www.ab###own.com':80
TCP:
Запросы HTTP GET:
- c4#####.r71.cf2.rackcdn.com/ispassist.dat
- c4#####.r71.cf2.rackcdn.com/finderquery.dat
- c6#####.r40.cf2.rackcdn.com/cond.dat
- c4#####.r71.cf2.rackcdn.com/st2ff.dat
- www.in####t-find.com/regcp/{99E53655-E92F-41F7-9B3D-90CC808C5FA6}|1|0
- www.ab###own.com/?st############
- c4#####.r71.cf2.rackcdn.com/st2ie.dat
UDP:
- DNS ASK c4#####.r71.cf2.rackcdn.com
- DNS ASK c6#####.r40.cf2.rackcdn.com
- DNS ASK www.in####t-find.com
- DNS ASK www.ab###own.com
