Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'jsryxhnbemx' = '<SYSTEM32>\regsvr32.exe /s "%TEMP%\nsbACA6.tmp.dll"'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'jsryxhnbemx' = '<SYSTEM32>\regsvr32.exe /s "<SYSTEM32>\tvuxzbkgvbgudxhw.dll"'
Вредоносные функции
Изменяет следующие настройки браузера Windows Internet Explorer
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '2500' = '00000003'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\setup.exe
- %TEMP%\taskmngr.exe
- %TEMP%\nsla3be.tmp
- %TEMP%\nsla3cf.tmp\system.dll
- %TEMP%\nsbaca6.tmp.dll
- %WINDIR%\syswow64\wtmlnrcsisie.exe
- %TEMP%\nsbaddc.tmp
- %TEMP%\nsgadfc.tmp\setuphlp.dll
- %TEMP%\ap1adfa.tmp
Удаляет следующие файлы
- %TEMP%\ap1adfa.tmp
- %TEMP%\nsla3cf.tmp\system.dll
Перемещает следующие файлы
- %TEMP%\nsbaca6.tmp.dll в %WINDIR%\syswow64\tvuxzbkgvbgudxhw.dll
Сетевая активность
Подключается к
- 're#####streaming.net':80
- 'google.com':80
TCP
Запросы HTTP GET
- http://re#####streaming.net/bc/nsi_install.php?in#######################################################################################
Запросы HTTP POST
- http://mo#####iticsonline.com/
UDP
- DNS ASK re#####streaming.net
- DNS ASK google.com
Другое
Ищет следующие окна
- ClassName: 'Static' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\taskmngr.exe'
- '%TEMP%\setup.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\regsvr32.exe' /s "<SYSTEM32>\tvuxzbkgvbgudxhw.dll"
