Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- launcher.exe
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'FileMonClass', WindowName: ''
- ClassName: 'OLLYDBG', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\iss.tmp0\pes2012patch106.exe
- %TEMP%\iss.tmp0\setup.exe
- %TEMP%\iss.tmp0\setup.bat
- %ProgramFiles(x86)%\opera\launcher.exe:1
- %TEMP%\_ise407.tmp
- %TEMP%\{ec281309-f519-4c6a-81dd-f51aa7a4ae91}\setup.ini
- %TEMP%\{ec281309-f519-4c6a-81dd-f51aa7a4ae91}\_ismsidel.ini
- %TEMP%\_ise4d3.tmp
- %TEMP%\{ec281309-f519-4c6a-81dd-f51aa7a4ae91}\0x0409.ini
- %TEMP%\_ise715.tmp
- %TEMP%\_ise774.tmp
- %TEMP%\_ise8bd.tmp
Удаляет следующие файлы
- %TEMP%\iss.tmp0\pes2012patch106.exe
- %TEMP%\_ise407.tmp
- %TEMP%\_ise4d3.tmp
- %TEMP%\_ise715.tmp
- %TEMP%\_ise774.tmp
- %TEMP%\_ise8bd.tmp
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\iss.tmp0\pes2012patch106.exe'
- '%ProgramFiles(x86)%\opera\launcher.exe:1' /stext "" /nosort
- '%TEMP%\iss.tmp0\setup.exe'
Запускает на исполнение
- '%ProgramFiles(x86)%\opera\launcher.exe'
- '%WINDIR%\syswow64\cmd.exe' /c %TEMP%\iss.tmp0\setup.bat (со скрытым окном)
- '%WINDIR%\syswow64\msiexec.exe' /p "%TEMP%\{EC281309-F519-4C6A-81DD-F51AA7A4AE91}\Patch106.msp" REINSTALLMODE=omus REINSTALL=ALL SETUPEXEDIR="%TEMP%\iss.tmp0" SETUPEXENAME="setup.exe"
- '%ProgramFiles(x86)%\opera\launcher.exe:1' /stext "" /nosort (со скрытым окном)
