Adware.Downware.1139

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\6e56Installer.exe' /KEYWORD=6e56 "/PATHFILES=%TEMP%\"
'%TEMP%\1366046682itinstallerp.exe'

Запускает на исполнение:

'<SYSTEM32>\conhost.exe'

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\logo_pcspeedup.bmp
%TEMP%\iminent_offerscreen_image.bmp
%TEMP%\square_pcspeedup.bmp
%TEMP%\3dboxes_pcspeedup.bmp
%TEMP%\wajam_image1.bmp
%TEMP%\square_fastfreeconvertor.bmp
%TEMP%\moreinfo_iminent.bmp
%TEMP%\square_wajam.bmp
%TEMP%\square_addlyrics.bmp
%TEMP%\square_optimizerpro.bmp
%TEMP%\square_softwareupdater.bmp
%TEMP%\optimizerpro_name.bmp
%TEMP%\optimizerpro_image1.bmp
%TEMP%\moreinfo_boxore.bmp
%TEMP%\addlyrics_image1.bmp
%TEMP%\mockup_softwareupdater.bmp
%TEMP%\square_boxore.bmp
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\api[1].php
%TEMP%\nsf242.tmp\version.dll
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\api[1].php
%TEMP%\nsf242.tmp\nsArray.dll
%WINDIR%\Temp\MPTelemetrySubmit\watson_manifest.txt
C:\ProgramData\Microsoft\Windows\WER\ReportQueue\NonCritical_80070422_76a4385aa7fdcd3dc476f7ea51e8ea5565f02fd_06604846\Report.wer
%TEMP%\nsf242.tmp\nsDialogs.dll
%WINDIR%\Temp\MPTelemetrySubmit\client_manifest.txt
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\BOWDBRP7\geo[1].php
%TEMP%\config.xml
%TEMP%\nsf242.tmp\modern-header.bmp
%TEMP%\makeurshopping.bmp
%TEMP%\freetwittube_text.rtf
%TEMP%\nsf242.tmp\System.dll
%TEMP%\nsf242.tmp\nsURL.dll
%TEMP%\nsf242.tmp\modern-wizard.bmp
%TEMP%\nsf242.tmp\ButtonEvent.dll
%TEMP%\optimizerpro_title.bmp
%TEMP%\nsf242.tmp\tkDecript.dll
%TEMP%\6e56header.bmp.zip
%TEMP%\header.bmp
%TEMP%\instloffer.exe
%TEMP%\square_dealply.bmp
%TEMP%\license.rtf
%TEMP%\ajax_loader.gif
%TEMP%\fondo.bmp
%TEMP%\1366046682itinstallerp.exe
%TEMP%\loader64.gif
%TEMP%\nsfF798.tmp\System.dll
%TEMP%\nsfF798.tmp\tkDecript.dll
%TEMP%\6e56Installer.INI
%TEMP%\6e56fondo.bmp.zip
%TEMP%\icon.ico
%TEMP%\6e56Installer.exe
%TEMP%\pricepeep_logo.bmp
%TEMP%\square_pricepeep.bmp
%TEMP%\freetwittube_image1.bmp
%TEMP%\square_freetwittube.bmp
%TEMP%\strongvault_image.bmp
%TEMP%\strongvault_richtext.rtf
%TEMP%\richtext1.rtf
%TEMP%\square_strongvault.bmp
%TEMP%\freetwittube_logo.bmp
%TEMP%\square_offerbox.bmp
%TEMP%\square_lollipop.bmp
%TEMP%\dealply_largo.bmp
%TEMP%\moreinfo_offerbox.bmp
%TEMP%\square_playbrite.bmp
%TEMP%\yontoo.bmp
%TEMP%\lollipop_moreinfo.bmp
%TEMP%\moreinfo_playbrite.bmp

Удаляет следующие файлы:

%TEMP%\6e56header.bmp.zip
%TEMP%\6e56fondo.bmp.zip
%WINDIR%\Temp\MPTelemetrySubmit\client_manifest.txt
%WINDIR%\Temp\MPTelemetrySubmit\watson_manifest.txt
%TEMP%\nsfF798.tmp\tkDecript.dll
%TEMP%\nsfF798.tmp\System.dll
%TEMP%\icon.ico
%TEMP%\loader64.gif

Перемещает следующие файлы:

%TEMP%\header.bmp в %TEMP%\6e56header.bmp
%TEMP%\fondo.bmp в %TEMP%\6e56fondo.bmp

Сетевая активность:

Подключается к:

'20#.#6.232.182':80
'xm####tcp.ddbbvt.eu':80

TCP:

Запросы HTTP GET:

xm####tcp.ddbbvt.eu/cmd/report.php?mk##############################################################################################################################################################
xm####tcp.ddbbvt.eu/cmd/report.php?mk#######################################################################################################################################################
20#.#6.232.182/fwlink/?Li######################################################################################################
xm####tcp.ddbbvt.eu/cmd/geo.php?mk##################
xm####tcp.ddbbvt.eu/cmd/api.php?mk####################################
xm####tcp.ddbbvt.eu/cmd/api.php?mk##########################################

UDP: