Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\nsc4.tmp\ns5.tmp %TEMP%\conduitinstaller.exe -ctid=CT2451227 -ie -ff -ch -startpage=true -defaultsearch=true
- %TEMP%\conduitinstaller.exe -ctid=CT2451227 -ie -ff -ch -startpage=true -defaultsearch=true
- %TEMP%\nsk2.tmp\stub.exe -parameters=%TEMP%\CT2451227\parameters.csf
- %PROGRAM_FILES%\tkur.exe
- %PROGRAM_FILES%\Mercan_CT2451227_s.exe
- %TEMP%\conduitinstaller.exe (загружен из сети Интернет)
Запускает на исполнение:
- %WINDIR%\regedit.exe /s 1.reg
- <SYSTEM32>\taskkill.exe /IM chrome.exe /f
- %WINDIR%\regedit.exe /s 3.reg
- %WINDIR%\regedit.exe /s 2.reg
- <SYSTEM32>\taskkill.exe /IM firefox.exe /f
- <SYSTEM32>\taskkill.exe /IM iexplore.exe /f
- <SYSTEM32>\cmd.exe /c ""%PROGRAM_FILES%\kur.cmd" "
- <SYSTEM32>\taskkill.exe /IM safari.exe /f
- <SYSTEM32>\taskkill.exe /IM opera.exe /f
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
- chrome.exe
- iexplore.exe
- opera.exe
Изменяет следующие настройки проводника Windows (Windows Explorer):
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\LocalUser\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoSaveSettings' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoSaveSettings' = '00000001'
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\CT2451227\parameters.csf
- %TEMP%\CT2451227\conduitStatistics.csf
- %TEMP%\nsk2.tmp\System.dll
- %TEMP%\nsk2.tmp\stub.exe
- %TEMP%\nsk2.tmp\nsDialogs.dll
- %TEMP%\nsc4.tmp\ConduitInetc.dll
- %TEMP%\nsc4.tmp\ns5.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\welcome[1]
- %TEMP%\nsc4.tmp\nsExec.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\conduitinstaller[1].exe
- %TEMP%\conduitinstaller.exe
- %PROGRAM_FILES%\2.reg
- %PROGRAM_FILES%\3.reg
- %PROGRAM_FILES%\1.reg
- %TEMP%\$inst\2.tmp
- %TEMP%\$inst\temp_0.tmp
- %PROGRAM_FILES%\Google Chrome\user\flash.crx
- %TEMP%\nsk2.tmp\WelcomeScreenLogo.bmp
- %TEMP%\nsk2.tmp\TBLogo.bmp
- %PROGRAM_FILES%\tkur.exe
- %PROGRAM_FILES%\kur.cmd
- %PROGRAM_FILES%\Mercan_CT2451227_s.exe
Удаляет следующие файлы:
- %PROGRAM_FILES%\Mercan_CT2451227_s.exe
- %PROGRAM_FILES%\1.reg
- %TEMP%\nsk2.tmp\WelcomeScreenLogo.bmp
- %PROGRAM_FILES%\tkur.exe
- %PROGRAM_FILES%\kur.cmd
- %TEMP%\$inst\2.tmp
- %PROGRAM_FILES%\2.reg
- %PROGRAM_FILES%\3.reg
- %TEMP%\nsc4.tmp\ConduitInetc.dll
- %TEMP%\nsc4.tmp\nsExec.dll
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\nsc4.tmp\ns5.tmp
- %TEMP%\nsk2.tmp\System.dll
- %TEMP%\nsk2.tmp\TBLogo.bmp
- %TEMP%\nsk2.tmp\nsDialogs.dll
- %TEMP%\nsk2.tmp\stub.exe
Сетевая активность:
Подключается к:
- 'ct######7.ourtoolbar.com':80
- 'localhost':1038
- 'st####e.conduit.com':80
TCP:
Запросы HTTP GET:
- ct######7.ourtoolbar.com/welcome
- st####e.conduit.com/ps/conduitinstaller/conduitinstaller.exe
UDP:
- DNS ASK ct######7.ourtoolbar.com
- DNS ASK st####e.conduit.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'IEFrame' WindowName: ''
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: '?r?n Etkinle?tirme'
- ClassName: '#32770' WindowName: ''
- ClassName: '' WindowName: ''
