Техническая информация
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- расширений файлов
Создает и запускает на исполнение:
- %TEMP%\nsb2.tmp\ns9.tmp mshta vbscript:createobject("wscript.shell").run("""iexplore""http://cn##.sjt8.com/info.access/?st#####",0)(window.close)
- %TEMP%\nsb2.tmp\ns8.tmp cmd /c del "%ALLUSERSPROFILE%\Application Data\Microsoft\Internet Explorer\Quick Launch\Жф¶Ї Internet Explorer дЇААЖч.lnk" /f
- %PROGRAM_FILES%\ddsp21659.exe (загружен из сети Интернет)
- %TEMP%\nsb2.tmp\nsA.tmp cmd /c echo %time%>>"%PROGRAM_FILES%\ddsp21659.exe"
- %TEMP%\nsb2.tmp\ns7.tmp cmd /c del "%USERPROFILE%\ЎёїЄКјЎ№ІЛµҐ\іМРт\Жф¶Ї\*.*" /f
- %TEMP%\nsb2.tmp\ns4.tmp cmd /c reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v "HideFileExt" /t REG_DWORD /d 00000001 /f 1>nul 2>nul
- %TEMP%\nsb2.tmp\ns3.tmp cmd /c echo %time%>>"%PROGRAM_FILES%\soft1659\or.exe"
- %TEMP%\nsb2.tmp\ns6.tmp cmd /c del "%ALLUSERSPROFILE%\ЎёїЄКјЎ№ІЛµҐ\іМРт\Жф¶Ї\*.*" /f
- %TEMP%\nsb2.tmp\ns5.tmp cmd /c reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel" /v "{871C5380-42A0-1069-A2EA-08002B30309D}" /d "1" /f
Запускает на исполнение:
- <SYSTEM32>\mshta.exe vbscript:createobject("wscript.shell").run("""iexplore""http://cn##.sjt8.com/info.access/?st#####",0)(window.close)
- %PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://cn##.sjt8.com/info.access/?st#####
- <SYSTEM32>\reg.exe add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v "HideFileExt" /t REG_DWORD /d 00000001 /f
- <SYSTEM32>\reg.exe add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel" /v "{871C5380-42A0-1069-A2EA-08002B30309D}" /d "1" /f
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsb2.tmp\ns4.tmp
- %TEMP%\nsb2.tmp\ns5.tmp
- %TEMP%\nsb2.tmp\ns6.tmp
- %PROGRAM_FILES%\soft1659\soft1659.ini
- %HOMEPATH%\Desktop\КАЅзЦ®ґ° дЇААЖч.lnk
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\КАЅзЦ®ґ° дЇААЖч.lnk
- %TEMP%\nsb2.tmp\ns7.tmp
- %PROGRAM_FILES%\ddsp21659.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\info[1]
- %TEMP%\nsb2.tmp\nsA.tmp
- %TEMP%\nsb2.tmp\ns8.tmp
- %TEMP%\nsb2.tmp\ns9.tmp
- %TEMP%\nsb2.tmp\NSISdl.dll
- %PROGRAM_FILES%\soft1659\IeUpdate.ini
- %PROGRAM_FILES%\soft1659\oem.ini
- %PROGRAM_FILES%\soft1659\360P2SP.wma
- %TEMP%\nsb2.tmp\System.dll
- %PROGRAM_FILES%\soft1659\or.exe
- %PROGRAM_FILES%\soft1659\IeUpdate.exe
- %PROGRAM_FILES%\soft1659\dailytips.ini
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Internot Exploror.exe
- %HOMEPATH%\Start Menu\Internot Exploror.exe
- %PROGRAM_FILES%\soft1659\soft1659.exe
- %TEMP%\nsb2.tmp\nsExec.dll
- %TEMP%\nsb2.tmp\ns3.tmp
- %HOMEPATH%\Desktop\Internot Exploror.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %PROGRAM_FILES%\soft1659\soft1659.ini
- %PROGRAM_FILES%\soft1659\oem.ini
Удаляет следующие файлы:
- %TEMP%\nsb2.tmp\nsA.tmp
- %TEMP%\nsb2.tmp\ns9.tmp
- %TEMP%\nsb2.tmp\nsExec.dll
- %TEMP%\nsb2.tmp\System.dll
- %TEMP%\nsb2.tmp\NSISdl.dll
- %TEMP%\nsb2.tmp\ns8.tmp
- %TEMP%\nsb2.tmp\ns4.tmp
- %TEMP%\nsb2.tmp\ns3.tmp
- %TEMP%\nsb2.tmp\ns5.tmp
- %TEMP%\nsb2.tmp\ns7.tmp
- %TEMP%\nsb2.tmp\ns6.tmp
Сетевая активность:
Подключается к:
- 'cn##.sjt8.com':80
- 'localhost':1037
- 'se###.ov-v.com':80
TCP:
Запросы HTTP GET:
- cn##.sjt8.com/info.access/?st#####
- se###.ov-v.com/install/ddsp2.exe
UDP:
- DNS ASK cn##.sjt8.com
- DNS ASK se###.ov-v.com
- '<IP-адрес в локальной сети>':1035
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
