Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'sdd1034' = '%HOMEPATH%\Local Settings\TempImages\sdd1034.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Seekapp Service] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%ALLUSERSPROFILE%\Application Data\Seekapp\seekapp122.exe' "%PROGRAM_FILES%\Seekapp\seekapp.dll" Service
- '%TEMP%\nsr8.tmp\seekapp.exe' "%TEMP%\nsr8.tmp\seekapp.dll" Install "-p SkapPAP "
- '%HOMEPATH%\Local Settings\TempImages\sdd1034.exe' Settings\TempImages\sdd1034.exe
- '%PROGRAM_FILES%\Seekapp\seekapp.exe' "%PROGRAM_FILES%\Seekapp\seekapp.dll" Main
- '%TEMP%\nsr8.tmp\seekapp.exe' "%TEMP%\nsr8.tmp\seekapp.dll" -r
- '%HOMEPATH%\Local Settings\TempImages\skasetup-122-SkapPAP.exe' Settings\TempImages\skasetup-122-SkapPAP.exe
- '%HOMEPATH%\Local Settings\TempImages\askToolbarInstaller-1.3.1.0.exe' Settings\TempImages\askToolbarInstaller-1.3.1.0.exe /verysilent /sa /tbr toolbar=SE
- '%TEMP%\NEW3.tmp.exe' /s /v"PARTNER=SE HPR=NO /qn"
- '%TEMP%\ska4.tmp\skasetup-122-SkapPAP.exe' -p SkapPAP /S
Запускает на исполнение:
- '<SYSTEM32>\msiexec.exe' /V
- '<SYSTEM32>\msiexec.exe' /i "%TEMP%\{B186E845-4D36-47CE-BDE1-FEB02D0B0B49}\Ask Toolbar.msi" /L*vx %TEMP%\ASKSUTBLOG PARTNER=SE HPR=NO /qn SETUPEXEDIR="%HOMEPATH%\Local Settings\Temp" SETUPEXENAME="NEW3.tmp.exe"
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\{B186E845-4D36-47CE-BDE1-FEB02D0B0B49}\0x0409.ini
- %TEMP%\_isA.tmp
- %TEMP%\_isC.tmp
- %TEMP%\nsr8.tmp\seekapp.exe
- %TEMP%\nsr8.tmp\uninstall.exe
- %TEMP%\{B186E845-4D36-47CE-BDE1-FEB02D0B0B49}\Setup.INI
- %TEMP%\_is9.tmp
- %TEMP%\nsr8.tmp\readme.html
- %TEMP%\{B186E845-4D36-47CE-BDE1-FEB02D0B0B49}\_ISMSIDEL.INI
- %PROGRAM_FILES%\Seekapp\readme.html
- %TEMP%\{B186E845-4D36-47CE-BDE1-FEB02D0B0B49}\Ask Toolbar.msi
- %TEMP%\ASKSUTBLOG
- %PROGRAM_FILES%\Seekapp\uninstall.exe
- %PROGRAM_FILES%\Seekapp\seekapp.exe
- %TEMP%\_isD.tmp
- %TEMP%\~B.tmp
- %PROGRAM_FILES%\Seekapp\seekapp.dll
- %ALLUSERSPROFILE%\Application Data\Seekapp\seekapp122.exe
- %HOMEPATH%\Local Settings\TempImages\sdd1034.exe
- %HOMEPATH%\Local Settings\TempImages\skasetup-122-SkapPAP.exe
- %TEMP%\nsz2.tmp\ioSpecial.ini
- %TEMP%\nsz2.tmp\ioAsk.ini
- %HOMEPATH%\Local Settings\TempImages\ask.bmp
- %HOMEPATH%\Local Settings\TempImages\ioClean.ini
- %TEMP%\nsz2.tmp\System.dll
- %HOMEPATH%\Local Settings\TempImages\askToolbarInstaller-1.3.1.0.exe
- %HOMEPATH%\Local Settings\TempImages\AskInstallChecker.exe
- %TEMP%\nsl7.tmp\logo.bmp
- %TEMP%\nsl7.tmp\System.dll
- %TEMP%\nsr8.tmp\seekapp.dll
- %TEMP%\nsl7.tmp\infoPage.ini
- %TEMP%\nsq6.tmp
- %TEMP%\nsz2.tmp\ExecDos.dll
- %TEMP%\nsz2.tmp\modern-wizard.bmp
- %TEMP%\ska4.tmp\skasetup-122-SkapPAP.exe
- %TEMP%\NEW3.tmp.exe
Удаляет следующие файлы:
- %TEMP%\nsl7.tmp\infoPage.ini
- %TEMP%\nsr8.tmp\uninstall.exe
- %TEMP%\nsr8.tmp\seekapp.exe
- %TEMP%\ska4.tmp\skasetup-122-SkapPAP.exe
- %TEMP%\nsl7.tmp\System.dll
- %TEMP%\nsl7.tmp\logo.bmp
- %TEMP%\nsr8.tmp\seekapp.dll
- %TEMP%\_isC.tmp
- %TEMP%\_isA.tmp
- %TEMP%\_is9.tmp
- %TEMP%\nsr8.tmp\readme.html
- %TEMP%\_isD.tmp
- %TEMP%\~B.tmp
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
