Trojan.DownLoad1.12590

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'SiteVacuum' = '%ProgramFiles(x86)%\EasySearch\SiteVacuumClient.exe'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\glc1238.tmp
%TEMP%\glk12d5.tmp
%TEMP%\glm14f8.tmp
%TEMP%\~glh0000.tmp
%TEMP%\~glh0001.tmp
%TEMP%\~glh0002.tmp
%TEMP%\~glh0003.tmp
%TEMP%\glb33bc.tmp
%TEMP%\glc387d.tmp
%TEMP%\glm38eb.tmp
%TEMP%\glg4481.tmp
%TEMP%\searchprovideroptions.ini
%ProgramFiles(x86)%\easysearch\tskill.exe
%ProgramFiles(x86)%\easysearch\mfc42u.dll
%ProgramFiles(x86)%\easysearch\sitevacuumlicense.txt
%ProgramFiles(x86)%\easysearch\sitevacuumclient.exe
%ProgramFiles(x86)%\easysearch\sitevacuumclient.tlb
%ProgramFiles(x86)%\easysearch\updatehelper.exe
%ProgramFiles(x86)%\easysearch\isitevacuumxpcom.xpt
%ProgramFiles(x86)%\easysearch\sitevacuumxpcom.dll
%ProgramFiles(x86)%\easysearch\wsconfig.ini
%ProgramFiles(x86)%\easysearch\ffext\chrome.manifest
%ProgramFiles(x86)%\easysearch\ffext\install.rdf
%ProgramFiles(x86)%\easysearch\ffext\chrome\content\script-injector.js
%ProgramFiles(x86)%\easysearch\ffext\chrome\content\sitevacuum.xul
%ProgramFiles(x86)%\easysearch\uninst.exe
%TEMP%\rarsfx0\msgupdate.dll
%TEMP%\rarsfx0\bhoinstaller.exe
%TEMP%\rarsfx0\igfxsys.dll
%TEMP%\rarsfx0\phuninst.dll
%TEMP%\rarsfx0\pub.dll
%TEMP%\glc2ead.tmp
%TEMP%\glk2ece.tmp
%TEMP%\glm30f1.tmp

Удаляет следующие файлы

%TEMP%\rarsfx0\bhoinstaller.exe
%TEMP%\rarsfx0\igfxsys.dll
%TEMP%\rarsfx0\msgupdate.dll
%TEMP%\rarsfx0\phuninst.dll
%TEMP%\rarsfx0\pub.dll
%TEMP%\glk2ece.tmp
%TEMP%\glm30f1.tmp
%TEMP%\glc2ead.tmp
%TEMP%\glk12d5.tmp
%TEMP%\glm14f8.tmp
%TEMP%\glc1238.tmp

Перемещает следующие файлы

%TEMP%\~glh0000.tmp в %TEMP%\multi_media.exe
%TEMP%\~glh0001.tmp в %TEMP%\checklime.exe
%TEMP%\~glh0002.tmp в %TEMP%\vlnet3.com_installer.exe
%TEMP%\~glh0003.tmp в %TEMP%\dw.exe
%ProgramFiles(x86)%\easysearch\sitevacuumxpcom.dll в %ProgramFiles%\mozilla firefox\components\sitevacuumxpcom.dll
%ProgramFiles(x86)%\easysearch\isitevacuumxpcom.xpt в %ProgramFiles%\mozilla firefox\components\isitevacuumxpcom.xpt

Сетевая активность

Подключается к

'62.##.175.146':80

UDP

DNS ASK ap#.##tevacuum.com
DNS ASK su#####olvergame.com

Другое

Ищет следующие окна

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''
ClassName: 'EDIT' WindowName: ''
ClassName: 'Static' WindowName: ''
ClassName: 'Opera_MessageWindow' WindowName: '%APPDATA%\Opera Software\Opera Stable'

Создает и запускает на исполнение

'%TEMP%\glb33bc.tmp' 4736 %TEMP%\MULTI_~1.EXE
'%ProgramFiles(x86)%\easysearch\sitevacuumclient.exe' -InstallFFXPCOM
'%ProgramFiles(x86)%\easysearch\sitevacuumclient.exe' -AddSearchProvider
'%ProgramFiles(x86)%\easysearch\sitevacuumclient.exe' -SetDefaultSearch
'%ProgramFiles(x86)%\easysearch\sitevacuumclient.exe' -StartWithWindows
'%ProgramFiles(x86)%\easysearch\sitevacuumclient.exe' -RegServer
'%ProgramFiles(x86)%\easysearch\sitevacuumclient.exe' -UpdateLinksToHost
'%ProgramFiles(x86)%\easysearch\sitevacuumclient.exe'
'%TEMP%\dw.exe'
'%TEMP%\rarsfx0\bhoinstaller.exe'

Запускает на исполнение

'%ProgramFiles(x86)%\opera\launcher.exe' -noautoupdate -- "http://network.adsmarket.com/click/j2lplY2igZ2IkGnEZJ2Dw4iQacReyno?ctype=ctg"
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' -noautoupdate --ran-launcher -- http://network.adsmarket.com/click/j2lplY2igZ2IkGnEZJ2Dw4iQacReyno?ctype=ctg
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://network.adsmarket.com/click/j2lplY2igZ2IkGnEZJ2Dw4iQacReyno?ctype=ctg /crash-reporter-parent-id=1856
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=renderer --alt-high-dpi-setting=96 --disable-direct-npapi-requests --enable-deferred-image-decoding --lang=en-US --enable-proprietary-media-types-playback --disable-client-side-phishing-...
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=renderer --alt-high-dpi-setting=96 --disable-direct-npapi-requests --enable-deferred-image-decoding --lang=en-US --enable-proprietary-media-types-playback --extension-process --enable-we...
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1856.3.1352052817\949374538" --lang=en-US --no-sandbox --enable-proprietary-media-types-playback /prefetch:-645351001
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1856.4.1820717204\576727490" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1856.5.379035581\1423351472" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1856.6.292552653\2023226470" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1856.7.1643792486\62527291" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' --type=utility --channel="1856.3.1352052817\949374538" --lang=en-US --no-sandbox --enable-proprietary-media-types-playback /prefetch:-645351001 /crash-reporter-parent-id=360
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1856.8.1075901478\154092448" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1856.9.1907666880\478439225" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1856.10.1676821900\1878299778" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1856.11.62465031\179994806" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001