Adware.Searcher.2648

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\nsl3.tmp\ns9.tmp' wmic useraccount get name,sid
'%TEMP%\nsl3.tmp\ns5.tmp' wmic useraccount get name,sid

Запускает на исполнение:

'<SYSTEM32>\wbem\wmic.exe' useraccount get name,sid

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\progress[1].0-0&unique_id=99548283934C31FA738D4EC23E29B138&mid=899523eff766bf01cc0c8a68fc3c3a74&aid=3673&aid2=none&ts=MZђ&ts2=&brw=iexplore&mi=1&ma=5
%TEMP%\nsl3.tmp\nsExec.dll
%TEMP%\nsl3.tmp\ns5.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\progress[1].0-0&unique_id=99548283934C31FA738D4EC23E29B138&mid=899523eff766bf01cc0c8a68fc3c3a74&aid=3673&aid2=none&ts=MZђ&ts2=&brw=iexplore&mi=1&ma=5
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\start[1].0-0&unique_id=99548283934C31FA738D4EC23E29B138&mid=899523eff766bf01cc0c8a68fc3c3a74&aid=3673&aid2=none&ts=MZђ&ts2=&brw=iexplore&mi=1&ma=5
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\logging[1].0-0&unique_id=99548283934C31FA738D4EC23E29B138&mid=899523eff766bf01cc0c8a68fc3c3a74&aid=3673&aid2=none&ts=MZђ&ts2=&brw=iexplore&mi=1&ma=5
%TEMP%\tmp6.tmp
<SYSTEM32>\wbem\AutoRecover\23BDE61F1F4FACE17E9B0C01F2A1FD9B.mof
%TEMP%\TempWmicBatchFile.bat
%TEMP%\nsl3.tmp\ns9.tmp
%TEMP%\tmp7.tmp
<SYSTEM32>\wbem\AutoRecover\C8463ECBE33BC240263A0B094E46D510.mof
%TEMP%\tmp8.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\progress[1].0-0&unique_id=&mid=&aid=&aid2=&ts=&ts2=&brw=&mi=&ma=
%TEMP%\nsl3.tmp\get_local_output.tmp
%TEMP%\nsl3.tmp\IpConfig.dll
%TEMP%\nsf2.tmp
%TEMP%\nsl3.tmp\System.dll
%TEMP%\nsl3.tmp\inetc.dll
%TEMP%\nsl3.tmp\md5dll.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\progress[1].0-0&unique_id=99548283934C31FA738D4EC23E29B138&mid=899523eff766bf01cc0c8a68fc3c3a74&aid=3673&aid2=none&ts=MZђ&ts2=&brw=&mi=&ma=
%TEMP%\nsl3.tmp\nsisos.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\progress[1].0-0&unique_id=99548283934C31FA738D4EC23E29B138&mid=899523eff766bf01cc0c8a68fc3c3a74&aid=3673&aid2=none&ts=MZђ&ts2=&brw=&mi=1&ma=5
%TEMP%\nsl3.tmp\DcryptDll.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\getTimestamp[1]
%TEMP%\nsc4.tmp

Удаляет следующие файлы:

%TEMP%\nsl3.tmp\ns5.tmp
%TEMP%\TempWmicBatchFile.bat
%TEMP%\nsl3.tmp\ns9.tmp
%TEMP%\tmp8.tmp
%TEMP%\nsc4.tmp
%TEMP%\tmp6.tmp
%TEMP%\tmp7.tmp

Сетевая активность:

Подключается к:

'www.wa##m.com':80

TCP:

Запросы HTTP GET:

www.wa##m.com/installer/start?v=###################################################################################################################################################
www.wa##m.com/installer/progress?se###############################################################################################################################################################
www.wa##m.com/installer/progress?se#################################################################################################################################################################
www.wa##m.com/proxy/logging?ev#########################################################################################################################################################
www.wa##m.com/installer/getTimestamp
www.wa##m.com/installer/progress?se##########################################################################
www.wa##m.com/installer/progress?se#######################################################################################################################################################
www.wa##m.com/installer/progress?se#####################################################################################################################################################

UDP: