Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- %WINDIR%\ppstreamsetup_emar@1.exe
- %WINDIR%\FunshionInstall_C10712.exe
- %PROGRAM_FILES%\333\2.exe
- %WINDIR%\ZcomMagSubscribe-200-11559.exe
- %WINDIR%\FunshionInstall_C10712.exe (загружен из сети Интернет)
- %WINDIR%\ZcomMagSubscribe-200-11559.exe (загружен из сети Интернет)
- %WINDIR%\ppstreamsetup_emar@1.exe (загружен из сети Интернет)
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\down.ppstream[1]
- %WINDIR%\ZcomMagSubscribe-200-11559.exe
- %WINDIR%\ppstreamsetup_emar@1.exe
- %WINDIR%\FunshionInstall_C10712.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\download[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ZcomMagSubscribe-200-11559[1].exe
- %PROGRAM_FILES%\333\333.htm
- %PROGRAM_FILES%\333\2.exe
- %PROGRAM_FILES%\333\a.exe
- %PROGRAM_FILES%\333\ad7855.exe
- %PROGRAM_FILES%\333\at1688电子书工具.exe
Сетевая активность:
Подключается к:
- 'do##.#pstream.com':80
- 'www.fu###ion.com':80
- 'localhost':1035
- 'zc####l.zcominc.com':80
TCP:
Запросы HTTP GET:
- www.fu###ion.com/partner/download.php?id############
- do##.#pstream.com/?cl#####################################
- zc####l.zcominc.com/union/ZcomMagSubscribe-200-11559.exe
UDP:
- DNS ASK www.fu###ion.com
- DNS ASK do##.#pstream.com
- DNS ASK zc####l.zcominc.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
