Техническая информация
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-n2783.tmp\<Имя файла>.tmp
- %TEMP%\is-6clkd.tmp\_isetup\_setup64.tmp
- %TEMP%\is-6clkd.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-6clkd.tmp\itdownload.dll
- %TEMP%\is-6clkd.tmp\rkverify.exe
- %TEMP%\is-6clkd.tmp\rkinstaller.exe
- %TEMP%\is-6clkd.tmp\ocsetuphlp.dll
Сетевая активность
Подключается к
- 'po##.##curestudies.com':80
TCP
Запросы HTTP GET
- http://po##.##curestudies.com/packages/VR/PackageV.exe
- http://po##.##curestudies.com/packages/IR/PackageI2.exe
UDP
- DNS ASK po##.##curestudies.com
- DNS ASK ap#.##encandy.com
Другое
Ищет следующие окна
- ClassName: '0EE3F659CE394F91811DEA891FD0CFF7' WindowName: ''
- ClassName: '995D92B2-4ED9-43A7-9338-8CC7D1746F96' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\is-n2783.tmp\<Имя файла>.tmp' /SL5="$A0248,6690967,56832,<Полный путь к файлу>"
Запускает на исполнение
- '%WINDIR%\syswow64\rundll32.exe' "%TEMP%\is-6CLKD.tmp\OCSetupHlp.dll",_OCPID0905OpenCandy2@16 2260,0EE3F659CE394F91811DEA891FD0CFF7,4E6E5E7F11F24A1DBB13A298BEC5F28A,F5B54199365643F488D0247883C11845 (со скрытым окном)
