Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'TorrentExpress' = '"%PROGRAM_FILES%\TorrentExpress\TorrentExpress.exe" '
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\TorrentExpress\SmallTE.exe' = '%PROGRAM_FILES%\TorrentExpress\SmallTE.exe:*:Enabled:SmallTE'
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\TorrentExpress\TorrentExpress.exe'
- '%PROGRAM_FILES%\TorrentExpress\SmallTE.exe' /hidden
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\TorrentExpress\sb-h-scroll-prev.png
- %PROGRAM_FILES%\TorrentExpress\sb-h-scroll-next.png
- %PROGRAM_FILES%\TorrentExpress\sb-scroll-back.png
- %PROGRAM_FILES%\TorrentExpress\sb-scroll-slider.png
- %PROGRAM_FILES%\TorrentExpress\sb-scroll-base.png
- %PROGRAM_FILES%\TorrentExpress\libidn-11.dll
- %PROGRAM_FILES%\TorrentExpress\libeay32.dll
- %PROGRAM_FILES%\TorrentExpress\libssl32.dll
- %PROGRAM_FILES%\TorrentExpress\msvcr90.dll
- %PROGRAM_FILES%\TorrentExpress\logo.png
- %PROGRAM_FILES%\TorrentExpress\installer.ini
- %TEMP%\nsk3.tmp\System.dll
- %TEMP%\nsk3.tmp\SimpleFC.dll
- %PROGRAM_FILES%\TorrentExpress\settings.ini
- %PROGRAM_FILES%\TorrentExpress\sb-v-scroll-prev.png
- %PROGRAM_FILES%\TorrentExpress\sb-v-scroll-next.png
- %PROGRAM_FILES%\TorrentExpress\scroll.css
- %PROGRAM_FILES%\TorrentExpress\style.css
- %PROGRAM_FILES%\TorrentExpress\ssleay32.dll
- %PROGRAM_FILES%\TorrentExpress\btn-cmd-0.png
- %PROGRAM_FILES%\TorrentExpress\banner3.gif
- %PROGRAM_FILES%\TorrentExpress\btn-cmd-1.png
- %PROGRAM_FILES%\TorrentExpress\btn-up-0.png
- %PROGRAM_FILES%\TorrentExpress\btn-cmd-2.png
- %PROGRAM_FILES%\TorrentExpress\SmallTE.exe
- %TEMP%\nsx2.tmp
- %PROGRAM_FILES%\TorrentExpress\TorrentExpress.exe
- %PROGRAM_FILES%\TorrentExpress\banner2.gif
- %PROGRAM_FILES%\TorrentExpress\banner1.gif
- %PROGRAM_FILES%\TorrentExpress\index_smallte_ru.htm
- %PROGRAM_FILES%\TorrentExpress\index_smallte_en.htm
- %PROGRAM_FILES%\TorrentExpress\index_torrentexpress.htm
- %PROGRAM_FILES%\TorrentExpress\libcurl.dll
- %PROGRAM_FILES%\TorrentExpress\lang.ini
- %PROGRAM_FILES%\TorrentExpress\btn-up-2.png
- %PROGRAM_FILES%\TorrentExpress\btn-up-1.png
- %PROGRAM_FILES%\TorrentExpress\htmlayout.dll
- %PROGRAM_FILES%\TorrentExpress\icon-top.png
- %PROGRAM_FILES%\TorrentExpress\icon-info.png
Удаляет следующие файлы:
- %TEMP%\nsk3.tmp\System.dll
- %TEMP%\nsk3.tmp\SimpleFC.dll
Сетевая активность:
Подключается к:
- 'ex####ownloader.org':80
TCP:
Запросы HTTP GET:
- ex####ownloader.org/get_torrent/?pc########################################################################################################################
UDP:
- DNS ASK ex####ownloader.org
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
