Техническая информация
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ixp000.tmp\uac.exe
- %TEMP%\msi969a.tmp
- %TEMP%\msi963b.tmp
- %TEMP%\msi959e.tmp
- %TEMP%\msi955f.tmp
- %TEMP%\msi936a.tmp
- %LOCALAPPDATA%\advinstanalytics\57bec79515c1ec525f8858bf\1.0.0\{c3fbca64-a88e-44e0-8359-6ccc50d1554a}.session
- %TEMP%\msi29864\installeranalytics.dll
- %TEMP%\msi29864\embeddeduiproxy.dll
- %TEMP%\msi7fbe.tmp
- %TEMP%\msi79f3.tmp
- %LOCALAPPDATA%\advinstanalytics\57bec79515c1ec525f8858bf\1.0.0\{1eb9c1a5-49ad-4fbf-ac77-2b97c4edf3aa}.session
- %LOCALAPPDATA%\advinstanalytics\57bec79515c1ec525f8858bf\1.0.0\tracking.ini
- %TEMP%\ina7984.tmp
- %APPDATA%\aw manager\windows manager 1.0.0\install\97fdf62\windows manager - postback johan.msi
- %APPDATA%\aw manager\windows manager 1.0.0\install\decoder.dll
- %TEMP%\creativecloud\acc\adobedownload\hdinstaller.log
- C:\installer.exe
- %TEMP%\nslbf2.tmp\execcmd.dll
- C:\ibinstaller_98220.exe
- %TEMP%\nslbf2.tmp\nsisdl.dll
- %TEMP%\ixp000.tmp\set-up.exe
- %TEMP%\msi9f32.tmp
- %TEMP%\msi9fdf.tmp
Удаляет следующие файлы
- C:\ibinstaller_98220.exe
- %TEMP%\nslbf2.tmp\execcmd.dll
- %TEMP%\nslbf2.tmp\nsisdl.dll
- %TEMP%\msi79f3.tmp
- %TEMP%\msi7fbe.tmp
- %TEMP%\msi936a.tmp
- %TEMP%\msi955f.tmp
- %TEMP%\msi959e.tmp
- %TEMP%\msi963b.tmp
- %TEMP%\msi969a.tmp
- %TEMP%\msi9f32.tmp
- %TEMP%\msi9fdf.tmp
Сетевая активность
Подключается к
- 'd2#######c5fpu.cloudfront.net':80
- 'fi####molite.com':80
TCP
Запросы HTTP GET
- http://d2#######c5fpu.cloudfront.net/ir/inl.php
- http://d2#######c5fpu.cloudfront.net/ir/onl.php
- http://fi####molite.com/jhn/installer.exe
UDP
- DNS ASK d2#######c5fpu.cloudfront.net
- DNS ASK fi####molite.com
Другое
Создает и запускает на исполнение
- '%TEMP%\ixp000.tmp\uac.exe'
- 'C:\installer.exe'
- '%TEMP%\ixp000.tmp\set-up.exe'
- '%WINDIR%\syswow64\cmd.exe' /C "\IBInstaller_98220.exe" /VERYSILENT /PASSWORD=kSWIzY9AFOirvP3TueIs98220 -token mtn1co3fo4gs5vwq -subid 1878' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "\installer.exe" /qn CAMPAIGN="1878"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C "\IBInstaller_98220.exe" /VERYSILENT /PASSWORD=kSWIzY9AFOirvP3TueIs98220 -token mtn1co3fo4gs5vwq -subid 1878
- '%WINDIR%\syswow64\cmd.exe' /C "\installer.exe" /qn CAMPAIGN="1878"
- '%WINDIR%\syswow64\msiexec.exe' /i "%APPDATA%\AW Manager\Windows Manager 1.0.0\install\97FDF62\Windows Manager - Postback Johan.msi" CAMPAIGN=1878 AI_SETUPEXEPATH=C:\installer.exe SETUPEXEDIR=C:\ EXE_CMD_LINE="/exenoupdates ...
