Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ed713514cca23894d88f06b8a6f33b9d' = '"%ALLUSERSPROFILE%\explorer.exe" ..'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ed713514cca23894d88f06b8a6f33b9d' = '"%ALLUSERSPROFILE%\explorer.exe" ..'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%ALLUSERSPROFILE%\explorer.exe' = '%ALLUSERSPROFILE%\explorer.exe:*:En...
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%ALLUSERSPROFILE%\explorer.exe" "explorer.exe" ENABLE
- '%TEMP%\nss3.tmp\ns4.tmp' ping -n 1 -w 1000 www.pi###orm.com
- '<SYSTEM32>\ping.exe' -n 1 -w 1000 www.pi###orm.com
- '<Текущая директория>\chrome.exe'
- '<Текущая директория>\ccsetup522.exe'
- '%ALLUSERSPROFILE%\explorer.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nss3.tmp\g\gtb\toolbar_1055.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1054.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1053.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1060.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1058.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1057.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1051.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1046.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1045.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1044.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1050.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1049.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1048.html
- %TEMP%\nss3.tmp\p\pfWWW.dll
- %TEMP%\nss3.tmp\g\pfWWW.dll
- %TEMP%\nss3.tmp\g\gtb\toolbar-screenshot.jpg
- %TEMP%\nss3.tmp\ns4.tmp
- %TEMP%\nss3.tmp\nsExec.dll
- %TEMP%\nss3.tmp\p\syschk.dll
- %TEMP%\nss3.tmp\g\gtb\toolbar_3098.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1066.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1062.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1061.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_2070.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_2052.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1102.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1026.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1025.html
- %TEMP%\nss3.tmp\g\gcapi_dll.dll
- %TEMP%\nss3.tmp\g\gtb\toolbar_1029.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1028.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1027.html
- %TEMP%\nss3.tmp\g\gtapi_signed.dll
- %TEMP%\nsi2.tmp
- <Текущая директория>\ccsetup522.exe
- <Текущая директория>\chrome.exe
- %TEMP%\nss3.tmp\UserInfo.dll
- %ALLUSERSPROFILE%\explorer.exe
- %TEMP%\nss3.tmp\System.dll
- %TEMP%\nss3.tmp\g\gtb\toolbar_1040.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1038.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1037.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1043.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1042.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1041.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1036.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1032.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1031.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1030.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1035.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1034.html
- %TEMP%\nss3.tmp\g\gtb\toolbar_1033.html
Удаляет следующие файлы:
- %TEMP%\nss3.tmp\ns4.tmp
Сетевая активность:
Подключается к:
- 'www.pi###orm.com':443
- 'h4####07.no-ip.info':1177
UDP:
- DNS ASK h4####07.no-ip.info
- DNS ASK www.pi###orm.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
