Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\software\microsoft\windows\currentversion\run] 'RSS' = 'wscript "%APPDATA%\Adobe\Flash Player\File Cache\file.vbs" "%APPDATA%\Adobe\Flash Player\File Cache\rss.bat"'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsc2221.tmp
- %TEMP%\7za.exe
- %TEMP%\a1.7z
- %APPDATA%\trillian-v5.3.0.15.exe
- %TEMP%\nss59f4.tmp\execdos.dll
- %TEMP%\bunndleoffermanager.dll
- %TEMP%\tmp.exe
- %APPDATA%\adobe\flash player\file cache\file.vbs
- %APPDATA%\adobe\flash player\file cache\libcurl.dll
- %APPDATA%\adobe\flash player\file cache\pthreadgc2.dll
- %APPDATA%\adobe\flash player\file cache\rss.bat
- %APPDATA%\adobe\flash player\file cache\rss.exe
- %TEMP%\bunndle\bunndleoffermanager-cbebe439-4a00-490c-84b8-cb5ceb905e81.dll
- %TEMP%\trillian_setup_text
Удаляет следующие файлы
- %TEMP%\nss59f4.tmp\execdos.dll
- %TEMP%\trillian_setup_text
Перемещает следующие файлы
- %TEMP%\bunndle\bunndleoffermanager-cbebe439-4a00-490c-84b8-cb5ceb905e81.dll в %TEMP%\bunndle\bunndleoffermanager.dll
Сетевая активность
TCP
Запросы HTTP GET
- http://www.ce####anstudios.com/partner/install.php?st#########
UDP
- DNS ASK se#####s.bunndle.com
- DNS ASK up#####.ctlsupport.su
- DNS ASK ce####anstudios.com
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Trillian' WindowName: 'Trillian'
Создает и запускает на исполнение
- '%APPDATA%\trillian-v5.3.0.15.exe'
- '%TEMP%\7za.exe' x "%TEMP%\a1.7z" -aoa -o%LOCALAPPDATA%\Temp -p~@S23js@@vBz99432@t9 "" ""
- '%TEMP%\tmp.exe'
- '%APPDATA%\adobe\flash player\file cache\rss.exe'
- '%TEMP%\7za.exe' x "%TEMP%\a1.7z" -aoa -o%LOCALAPPDATA%\Temp -p~@S23js@@vBz99432@t9 "" ""' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\Adobe\Flash Player\File Cache\rss.bat" "' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\Adobe\Flash Player\File Cache\file.vbs" "%APPDATA%\Adobe\Flash Player\File Cache\rss.bat"
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\Adobe\Flash Player\File Cache\rss.bat" "
- '%WINDIR%\syswow64\reg.exe' add HKCU\software\microsoft\windows\currentversion\run /v RSS /d "wscript \"%APPDATA%\Adobe\Flash Player\File Cache\file.vbs\" \"%APPDATA%\Adobe\Flash Player\File Cache\rss.bat\"" /f
- '%WINDIR%\syswow64\rundll32.exe' %TEMP%\Bunndle\BUNNDL~1.DLL,RunOfferManagerAgentW
- '%WINDIR%\syswow64\cmd.exe' /c set /p x= & del /f /s "%TEMP%\Bunndle\BUNNDL~1.DLL" & rd /s /q "%TEMP%\Bunndle"
