Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\wsqmcons.exe'
- '<SYSTEM32>\rundll32.exe' dfdts.dll,DfdGetDefaultPolicyAndSMART
- '<SYSTEM32>\schtasks.exe' /delete /f /TN "Microsoft\Windows\Customer Experience Improvement Program\Uploader"
- '<SYSTEM32>\sc.exe' start w32time task_started
- '<SYSTEM32>\sdclt.exe' /CONFIGNOTIFICATION
- '<SYSTEM32>\taskhost.exe' $(Arg0)
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\htm\css\images\ui-bg_highlight-soft_100_eeeeee_1x100.png
- %TEMP%\htm\css\images\ui-bg_gloss-wave_35_f6a828_500x100.png
- %TEMP%\htm\css\images\ui-icons_222222_256x240.png
- %TEMP%\htm\css\images\ui-bg_highlight-soft_75_ffe45c_1x100.png
- %TEMP%\htm\css\images\ui-bg_glass_65_ffffff_1x400.png
- %TEMP%\htm\css\images\ui-bg_flat_10_000000_40x100.png
- %TEMP%\htm\css\images\ui-bg_diagonals-thick_20_666666_40x40.png
- %TEMP%\htm\css\images\ui-bg_glass_100_fdf5ce_1x400.png
- %TEMP%\htm\css\images\ui-bg_glass_100_f6f6f6_1x400.png
- %TEMP%\htm\icons\add.gif
- %TEMP%\htm\css\main.css
- %TEMP%\htm\icons\fill.gif
- %TEMP%\htm\icons\empty.gif
- %TEMP%\htm\css\jquery-ui-1.8.16.custom.css
- %TEMP%\htm\css\images\ui-icons_ef8c08_256x240.png
- %TEMP%\htm\css\images\ui-icons_228ef1_256x240.png
- %TEMP%\htm\css\images\ui-icons_ffffff_256x240.png
- %TEMP%\htm\css\images\ui-icons_ffd27a_256x240.png
- %TEMP%\htm\css\images\ui-bg_diagonals-thick_18_b81900_40x40.png
- %TEMP%\htm\page3.html
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\open[1].php
- %TEMP%\htm\js\script.js
- %TEMP%\htm\page2.html
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\9669719[1]
- C:\ProgramData\Microsoft\RAC\Temp\sql8AC1.tmp
- C:\ProgramData\Microsoft\RAC\Temp\sql8B20.tmp
- %TEMP%\htm\page4.html
- %TEMP%\htm\bramus\percentImage.gif
- %TEMP%\htm\js\bramus\jsProgressBarHandler.js
- %TEMP%\htm\bramus\percentImage_back.png
- %TEMP%\htm\bramus\percentImage.png
- %TEMP%\htm\js\jquery-1.6.2.min.js
- %TEMP%\htm\js\mask.js
- %TEMP%\htm\js\prototype\prototype.js
- %TEMP%\htm\js\jquery-ui-1.8.16.custom.min.js
- %TEMP%\htm\js\jquery.js
- %TEMP%\htm\js\css\images\ui-bg_gloss-wave_35_f6a828_500x100.png
- %TEMP%\htm\js\css\images\ui-bg_glass_65_ffffff_1x400.png
- %TEMP%\htm\js\css\images\ui-bg_highlight-soft_75_ffe45c_1x100.png
- %TEMP%\htm\js\css\images\ui-bg_highlight-soft_100_eeeeee_1x100.png
- %TEMP%\htm\js\css\images\ui-bg_glass_100_fdf5ce_1x400.png
- %TEMP%\htm\js\css\images\ui-bg_diagonals-thick_20_666666_40x40.png
- %TEMP%\htm\js\css\images\ui-bg_diagonals-thick_18_b81900_40x40.png
- %TEMP%\htm\js\css\images\ui-bg_glass_100_f6f6f6_1x400.png
- %TEMP%\htm\js\css\images\ui-bg_flat_10_000000_40x100.png
- %TEMP%\htm\js\css\main.css
- %TEMP%\htm\js\css\jquery-ui-1.8.16.custom.css
- %TEMP%\htm\page.html
- %TEMP%\htm\style.css
- %TEMP%\htm\js\css\images\ui-icons_ffffff_256x240.png
- %TEMP%\htm\js\css\images\ui-icons_228ef1_256x240.png
- %TEMP%\htm\js\css\images\ui-icons_222222_256x240.png
- %TEMP%\htm\js\css\images\ui-icons_ffd27a_256x240.png
- %TEMP%\htm\js\css\images\ui-icons_ef8c08_256x240.png
- %TEMP%\htm\images\top.png
- %TEMP%\htm\images\bg-office.jpg
- %TEMP%\htm\images\bg-office-3.jpg
- %TEMP%\htm\images\bramus\percentImage.png
- %TEMP%\htm\images\bramus\percentImage.gif
- %TEMP%\htm\images\bg-office-2.jpg
- %TEMP%\htm\icons\minus.gif
- %TEMP%\htm\icons\get.gif
- %TEMP%\htm\images\bg-office-1.jpg
- %TEMP%\htm\icons\set.gif
- %TEMP%\htm\images\icons\get.gif
- %TEMP%\htm\images\icons\fill.gif
- %TEMP%\htm\images\icons\set.gif
- %TEMP%\htm\images\icons\minus.gif
- %TEMP%\htm\images\icons\empty.gif
- %TEMP%\htm\images\btn-bg-active.png
- %TEMP%\htm\images\bramus\percentImage_back.png
- %TEMP%\htm\images\icons\add.gif
- %TEMP%\htm\images\btn-bg.png
Сетевая активность:
Подключается к:
- 'pi###eller.com':80
- 'localhost':58770
TCP:
Запросы HTTP GET:
- pi###eller.com/piwfb49c1e5/9669719/
- pi###eller.com/api/open.php?ai#############
UDP:
- DNS ASK ti##.#indows.com
- DNS ASK pi###eller.com
- 'ti##.#indows.com':123
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebCheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
