Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad] 'UPnPServiceClass' = '{883967c7-f6b2-4f47-b2eb-4efc8e2c6365}'
Вредоносные функции:
Создает и запускает на исполнение:
- %ALLUSERSPROFILE%\Application Data\BigFishGamesCache\Upgrade\Unpack\bfgsetup_s1_l1.exe /STUBPATH "%TEMP%\plantasia.exe"
- %ALLUSERSPROFILE%\Application Data\BigFishGamesCache\Upgrade\stub\plantasia.exe /STUBPATH "%TEMP%\plantasia.exe" /D=%HOMEPATH%\Local Settings\Temp
- %TEMP%\plantasia.exe
- %ALLUSERSPROFILE%\Application Data\BigFishGamesCache\Upgrade\Unpack\bfgsetup_s1_l1.exe (загружен из сети Интернет)
Запускает на исполнение:
- <SYSTEM32>\regsvr32.exe /s %TEMP%\windll.dll
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsh6.tmp\nsProcess.dll
- %ALLUSERSPROFILE%\Application Data\BigFishGamesCache\GameManager\log\gamestub_install_log.txt
- %TEMP%\nsh6.tmp\uac.dll
- %TEMP%\nsh6.tmp\NSISdl.dll
- %CommonProgramFiles%\UPnPService\UPnPServiceClass.dll
- %TEMP%\windll.dll
- %ALLUSERSPROFILE%\Application Data\BigFishGamesCache\Upgrade\Unpack\bfgsetup_s1_l1.exe
- %TEMP%\nsh6.tmp\UserInfo.dll
- %TEMP%\nsv4.tmp\System.dll
- %TEMP%\nsj2.tmp\NSISdl.dll
- %TEMP%\plantasia.exe
- %TEMP%\plantasia.log
- %TEMP%\nsh6.tmp\System.dll
- %ALLUSERSPROFILE%\Application Data\BigFishGamesCache\Upgrade\stub\plantasia.exe
- %TEMP%\nsv4.tmp\UserInfo.dll
Удаляет следующие файлы:
- %TEMP%\nsv4.tmp\UserInfo.dll
- %TEMP%\nsv4.tmp\System.dll
- %TEMP%\nsj2.tmp\NSISdl.dll
- %TEMP%\windll.dll
- %TEMP%\nsh6.tmp\UserInfo.dll
- %TEMP%\nsh6.tmp\nsProcess.dll
- %TEMP%\nsh6.tmp\NSISdl.dll
- %TEMP%\nsh6.tmp\uac.dll
- %TEMP%\nsh6.tmp\System.dll
Сетевая активность:
Подключается к:
- 'do######s.bigfishgames.com':80
- '20#.#26.167.92':80
TCP:
Запросы HTTP GET:
- do######s.bigfishgames.com/downloads/gamemanager/bfginstaller.exe
- 20#.#26.167.92/tor2_6/trun.php?tn##########
UDP:
- DNS ASK do######s.bigfishgames.com
Другое:
Ищет следующие окна:
- ClassName: '#32770' WindowName: ''
- ClassName: 'MozillaUIWindowClass' WindowName: ''
- ClassName: 'IEFrame' WindowName: ''
- ClassName: '' WindowName: 'BFG_DRM_71f48295-5ff7-4894-b2c3-92f72b83a864'
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: 'BFG_Client_a3528f2e-7897-42cb-8bda-23273e96d430'
- ClassName: '' WindowName: 'BFG_Monitor_f8c5f096-93d6-4f5f-8474-fc53d9c7540c'
