Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'nanosearch' = '%PROGRAM_FILES%\nanosearch\nanosearchup.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\nanosearch\nanosearchup.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\nanosearch\nanosearchup.exe
- %PROGRAM_FILES%\nanosearch\nanosearch.dll
- %PROGRAM_FILES%\nanosearch\msvcr80.dll
- %PROGRAM_FILES%\nanosearch\uninstall.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\update[1].php
- %TEMP%\nse3.tmp\DLLWebCount.dll
- %TEMP%\nse3.tmp\Math.dll
- %PROGRAM_FILES%\nanosearch\msvcp80.dll
- %TEMP%\nse3.tmp\ExistFiles.dll
- %TEMP%\nse3.tmp\System.dll
- %TEMP%\nso2.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\overlap[1].chk
- %PROGRAM_FILES%\nanosearch\msvcm80.dll
- %PROGRAM_FILES%\nanosearch\Microsoft.VC80.CRT.manifest
- %TEMP%\nse3.tmp\KillProcDLL.dll
Сетевая активность:
Подключается к:
- 'in###shop.co.kr':80
- 'na###oft.org':80
- 'en##ew.com':80
- 'www.na###oft.org':80
TCP:
Запросы HTTP GET:
- in###shop.co.kr/line/nanosearch/update.php
- na###oft.org/counter/insert.php?db######################################################################
- en##ew.com/linechk/overlap/overlap.chk
- www.na###oft.org/counter/insert.php?db######################################################################
UDP:
- DNS ASK in###shop.co.kr
- DNS ASK na###oft.org
- DNS ASK en##ew.com
- DNS ASK www.na###oft.org
