Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\ccleaner update
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsed98d.tmp
- %TEMP%\nseda2a.tmp\modern-header.bmp
- %TEMP%\nseda2a.tmp\system.dll
- %TEMP%\nseda2a.tmp\nsprocess.dll
- %TEMP%\nseda2a.tmp\p\serviceuninstaller.dll
- %ProgramFiles%\ccleaner\ccupdate.exe
- %ProgramFiles%\ccleaner\ccleanerdu.dll
- %ProgramFiles%\ccleaner\ccleanerperformanceoptimizer.dll
- %ProgramFiles%\ccleaner\ccleanerreactivator.dll
- %ProgramFiles%\ccleaner\libwaapi.dll
- %ProgramFiles%\ccleaner\libwaheap.dll
- %ProgramFiles%\ccleaner\libwalocal.dll
- %ProgramFiles%\ccleaner\libwaresource.dll
- %ProgramFiles%\ccleaner\libwautils.dll
- %ProgramFiles%\ccleaner\libwavmodapi.dll
- %ProgramFiles%\ccleaner\ccleaner64.exe
- %ProgramFiles%\ccleaner\ccleanerbugreport.exe
- %ProgramFiles%\ccleaner\ccleanercrashdump.exe
- %ProgramFiles%\ccleaner\ccleanerperformanceoptimizerservice.exe
- %ProgramFiles%\ccleaner\ccleanerreactivator.exe
- %ProgramFiles%\ccleaner\wa_3rd_party_host_32.exe
- %ProgramFiles%\ccleaner\wa_3rd_party_host_64.exe
- %TEMP%\nseda2a.tmp\inetc.dll
- %TEMP%\nseda2a.tmp\p\pfbl.dll
- %TEMP%\nseda2a.tmp\selfdel.dll
- %ProgramFiles%\ccleaner\setup\9f90b025-696b-40ac-8808-fa0f33df5673.ini
- %ProgramFiles%\ccleaner\setup\50fd135c-6f2b-45fe-a3e2-4c5c4ecfc951.dll
- %TEMP%\asw62d2d3ccec61375c.tmp
- %ProgramFiles%\ccleaner\setup\3dab305f-5fc3-4637-b35b-22d2cff07ae9.xml
Удаляет следующие файлы
- %TEMP%\nseda2a.tmp\inetc.dll
- %TEMP%\nseda2a.tmp\modern-header.bmp
- %TEMP%\nseda2a.tmp\nsprocess.dll
- %TEMP%\nseda2a.tmp\p\pfbl.dll
- %TEMP%\nseda2a.tmp\p\serviceuninstaller.dll
- %TEMP%\nseda2a.tmp\selfdel.dll
- %TEMP%\nseda2a.tmp\system.dll
- %ProgramFiles%\ccleaner\setup\9f90b025-696b-40ac-8808-fa0f33df5673.ini
- %TEMP%\asw62d2d3ccec61375c.tmp
- %ProgramFiles%\ccleaner\setup\50fd135c-6f2b-45fe-a3e2-4c5c4ecfc951.dll
- %ProgramFiles%\ccleaner\setup\3dab305f-5fc3-4637-b35b-22d2cff07ae9.xml
Самоудаляется.
Сетевая активность
Подключается к
- 'go.microsoft.com':443
- 'ip#####.ff.avast.com':443
- 'sh#####d.ff.avast.com':443
- 'em####te.avcdn.net':80
- 'cc######.tools.avcdn.net':80
- 'go#####a###ytics.com':80
TCP
Запросы HTTP GET
- http://cc######.tools.avcdn.net/tools/ccleaner/update/patches.ini
- http://cc######.tools.avcdn.net/tools/ccleaner/update/20180205.dll
- http://www.go#####a###ytics.com/collect?v=###################################################################################################################################
- http://cc######.tools.avcdn.net/tools/ccleaner/update/updates.xml
Другие
- '34.##9.100.209':443
- 'go.microsoft.com':443
- 'ip#####.ff.avast.com':443
- 'sh#####d.ff.avast.com':443
UDP
- DNS ASK go.microsoft.com
- DNS ASK ip#####.ff.avast.com
- DNS ASK sh#####d.ff.avast.com
- DNS ASK em####te.avcdn.net
- DNS ASK cc######.tools.avcdn.net
- DNS ASK go#####a###ytics.com
Другое
Ищет следующие окна
- ClassName: '#32770' WindowName: ''
- ClassName: 'PiriformRegistration' WindowName: ''
- ClassName: '#32770' WindowName: 'Piriform CCleaner'
- ClassName: 'ThunderRT6FormDC' WindowName: 'CCleaner'
- ClassName: 'PiriformCCleaner' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles%\ccleaner\ccupdate.exe' /reg
- '%ProgramFiles%\ccleaner\ccleaner64.exe' /updateSuccess
- '%ProgramFiles%\ccleaner\ccupdate.exe' /emupdater /applydll "%ProgramFiles%\CCleaner\Setup\50fd135c-6f2b-45fe-a3e2-4c5c4ecfc951.dll"
Запускает на исполнение
- '%WINDIR%\syswow64\explorer.exe'
