Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\give4sure\give4sure-bg.exe' /executebg /externallog='%TEMP%\give4sureInstaller_1382827337.log'
- '%PROGRAM_FILES%\give4sure\give4sure-helper.exe' /externallog='%TEMP%\give4sureInstaller_1382827337.log'
- '%PROGRAM_FILES%\give4sure\give4sure-codedownloader.exe' /installapp /agentregpath='give4sure' /appid=9881 /srcid='0' /subid='0' /zdata='0' /bic=3E65533D68084542BAE49CD7D342D8B1IE /verifier=c150c2e702411349ef9d9a8422d2a9a6 /installerversion=1_29_153 /installerfullversion=1.29.153.2 /installationtime=1382827337 /statsdomain=http://st###.#pdate-apps.com /errorsdomain=http://er####.update-apps.com /codedownloaddomain=http://ap######ic.crossrider.com /externallog='%TEMP%\give4sureInstaller_1382827337.log'
Запускает на исполнение:
- '%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://gi###sure.com/callbacks/plugin_installed
- '<SYSTEM32>\regsvr32.exe' /s "%PROGRAM_FILES%\give4sure\give4sure-bho.dll"
Завершает или пытается завершить
следующие пользовательские процессы:
- iexplore.exe
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\give4sure\give4sure-helper.exe
- %PROGRAM_FILES%\give4sure\give4sure-buttonutil.exe
- %PROGRAM_FILES%\give4sure\give4sure-buttonutil.dll
- %PROGRAM_FILES%\give4sure\give4sure-codedownloader.exe
- %TEMP%\nsb3.tmp\ExecDos.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\manifest[1].xml
- %PROGRAM_FILES%\give4sure\give4sure-bg.exe
- %PROGRAM_FILES%\give4sure\Installer.log
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\plugin_installed[1]
- %PROGRAM_FILES%\give4sure\give4sure.ico
- %PROGRAM_FILES%\give4sure\give4sure-bho.dll
- %PROGRAM_FILES%\give4sure\background.html
- %TEMP%\nsb3.tmp\nsislog.dll
- %TEMP%\give4sureInstaller_1382827337.log
- %TEMP%\nsb3.tmp\InstallerUtils.dll
- %TEMP%\nsh2.tmp
- %TEMP%\nsb3.tmp\StdUtils.dll
- %TEMP%\nsb3.tmp\System.dll
- %PROGRAM_FILES%\give4sure\Uninstall.exe
- %TEMP%\nsb3.tmp\temp_file_before.tmp
- %TEMP%\nsb3.tmp\temp_file_after.tmp
- %TEMP%\nsb3.tmp\nsisos.dll
- %TEMP%\nsb3.tmp\md5dll.dll
- %TEMP%\nsb3.tmp\UserInfo.dll
Удаляет следующие файлы:
- %TEMP%\nsb3.tmp\System.dll
- %TEMP%\nsb3.tmp\StdUtils.dll
- %TEMP%\nsb3.tmp\temp_file_after.tmp
- %TEMP%\nsb3.tmp\UserInfo.dll
- %TEMP%\nsb3.tmp\temp_file_before.tmp
- %TEMP%\nsb3.tmp\InstallerUtils.dll
- %TEMP%\nsb3.tmp\ExecDos.dll
- %TEMP%\nsb3.tmp\md5dll.dll
- %TEMP%\nsb3.tmp\nsisos.dll
- %TEMP%\nsb3.tmp\nsislog.dll
Сетевая активность:
Подключается к:
- 'localhost':1043
- 'gi###sure.com':80
- 'er####.update-apps.com':80
- 'st###.#pdate-apps.com':80
- 'ap######ic.crossrider.com':80
TCP:
Запросы HTTP GET:
- gi###sure.com/callbacks/plugin_installed
- ap######ic.crossrider.com/plugin/apps/9881/manifest/1_29_153/ie6/manifest.xml?ve###########
UDP:
- DNS ASK er####.update-apps.com
- DNS ASK gi###sure.com
- DNS ASK st###.#pdate-apps.com
- DNS ASK ap######ic.crossrider.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: '' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
