Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\2YourFace_Updater.lnk
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%APPDATA%\2YourFace\Updater.exe' = '%APPDATA%\2YourFace\Updater.exe:*:Enabled:Updater for 2YourFace'
Создает и запускает на исполнение:
- %TEMP%\SetupAuto.exe /PID=6 /NOTIFY=0 /FFR=1 /FFP=0 /S
- %TEMP%\SetupUpdater.exe /S
- %TEMP%\nsf2.tmp\tmp0002.exe /SILENT=1
- %TEMP%\nsf2.tmp\ns3.tmp "%TEMP%\nsf2.tmp\lzma.exe" d %TEMP%\nsf2.tmp\inetc.bin %TEMP%\nsf2.tmp\inetc.dll
- %TEMP%\nsf2.tmp\lzma.exe d %TEMP%\nsf2.tmp\inetc.bin %TEMP%\nsf2.tmp\inetc.dll
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsf2.tmp\tmp0003.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\iw[1].0&cv=1087&p=319
- %APPDATA%\2YourFace\ffextension\chrome\skin\overlay.css
- %APPDATA%\2YourFace\ffextension\chrome\locale\en-US\overlay.properties
- %APPDATA%\2YourFace\ffextension\chrome\content\ff-overlay.xul
- %APPDATA%\2YourFace\ffextension\chrome\content\ff-overlay.js
- %APPDATA%\2YourFace\ffextension\chrome\locale\en-US\overlay.dtd
- %APPDATA%\2YourFace\ffextension\chrome\content\overlay.js
- %APPDATA%\2YourFace\ffextension\defaults\preferences\prefs.js
- %TEMP%\nsf9.tmp\SimpleFC.dll
- %APPDATA%\2YourFace\version.exe
- %TEMP%\ping1.txt
- %TEMP%\nsj5.tmp\NSISdl.dll
- %APPDATA%\2YourFace\uninst.exe
- %APPDATA%\2YourFace\FF8Installer.exe
- %APPDATA%\2YourFace\Updater.exe
- %TEMP%\nsf9.tmp\System.dll
- %TEMP%\nsf2.tmp\nsExec.dll
- %TEMP%\nsf2.tmp\md5dll.dll
- %TEMP%\nsf2.tmp\inetc.dll
- %TEMP%\nsf2.tmp\ns3.tmp
- %TEMP%\nsf2.tmp\inetc.bin
- %TEMP%\nsf2.tmp\lzma.exe
- %TEMP%\nsf2.tmp\Math.dll
- %TEMP%\nsf2.tmp\System.dll
- %TEMP%\nsf2.tmp\tmp0002.exe
- %APPDATA%\2YourFace\bho.dll
- %APPDATA%\2YourFace\2YourFace.crx
- %APPDATA%\2YourFace\ffextension\install.rdf
- %APPDATA%\2YourFace\ffextension\chrome.manifest
- %TEMP%\SetupUpdater.exe
- %TEMP%\SetupAuto.exe
- %TEMP%\nsy7.tmp\System.dll
- %TEMP%\nsj5.tmp\System.dll
Удаляет следующие файлы:
- %TEMP%\nsf2.tmp\tmp0003.tmp
- %TEMP%\nsf2.tmp\System.dll
- %TEMP%\nsf2.tmp\nsExec.dll
- %TEMP%\nsf9.tmp\System.dll
- %TEMP%\nsf9.tmp\SimpleFC.dll
- %TEMP%\nsy7.tmp\System.dll
- %TEMP%\nsf2.tmp\inetc.dll
- %TEMP%\nsf2.tmp\inetc.bin
- %TEMP%\nsf2.tmp\ns3.tmp
- %TEMP%\nsf2.tmp\md5dll.dll
- %TEMP%\nsf2.tmp\Math.dll
- %TEMP%\nsf2.tmp\lzma.exe
Сетевая активность:
Подключается к:
- 'www.ou###owse.com':80
- 'www.in####lwrapper.com':80
TCP:
Запросы HTTP GET:
- www.ou###owse.com/install.php?pu#######################################################
- www.in####lwrapper.com/api/iw/?i=############################################################
UDP:
- DNS ASK www.ou###owse.com
- DNS ASK www.in####lwrapper.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
