Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\p3_kafee_bn737JyruhRgXWmk0k_v12.2.exe' /C reg add "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /t reg_sz /d http://www.23##.com/?ka### /f >nul 2>nul
- 'C:\p3_kafee_bn737JyruhRgXWmk0k_v12.2.exe' /pid=556
- 'C:\p3_kafee_bn737JyruhRgXWmk0k_v12.2.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main" /v "Default_Page_URL" /t reg_sz /d http://www.23##.com/?ka### /f
- 'C:\p3_kafee_bn737JyruhRgXWmk0k_v12.2.exe' /pid=3768
- 'C:\p3_kafee_bn737JyruhRgXWmk0k_v12.2.exe' /pid=3696
- 'C:\p3_kafee_bn737JyruhRgXWmk0k_v12.2.exe' /pid=3864
- 'C:\p3_kafee_bn737JyruhRgXWmk0k_v12.2.exe' /pid=2668
- 'C:\p3_kafee_bn737JyruhRgXWmk0k_v12.2.exe' /pid=1728
- 'C:\p3_kafee_bn737JyruhRgXWmk0k_v12.2.exe' /pid=3132
- 'C:\p3_kafee_bn737JyruhRgXWmk0k_v12.2.exe' /pid=2820
- 'C:\p3_kafee_bn737JyruhRgXWmk0k_v12.2.exe' /S
- 'C:\p3_kafee_bn737JyruhRgXWmk0k_v12.2.exe' /pid=3436
- 'C:\p3_kafee_bn737JyruhRgXWmk0k_v12.2.exe' /C reg add "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main" /v "Default_Page_URL" /t reg_sz /d http://www.23##.com/?ka### /f >nul 2>nul
- '<SYSTEM32>\reg.exe' (загружен из сети Интернет)
- 'C:\p3_kafee_bn737JyruhRgXWmk0k_v12.2.exe' (загружен из сети Интернет)
- '<SYSTEM32>\cmd.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\reg.exe' /pid=4032
- '<SYSTEM32>\reg.exe' /pid=2356
- '<SYSTEM32>\reg.exe' /pid=4024
- '<SYSTEM32>\reg.exe' /pid=3684
- '<SYSTEM32>\reg.exe' /pid=3740
- '<SYSTEM32>\reg.exe' /pid=3228
- '<SYSTEM32>\reg.exe' /pid=1516
- '<SYSTEM32>\reg.exe' /pid=3368
- '<SYSTEM32>\reg.exe' /pid=2688
- '<SYSTEM32>\reg.exe' /pid=2704
- '<SYSTEM32>\reg.exe' /pid=3592
- '<SYSTEM32>\reg.exe' /pid=3036
- '<SYSTEM32>\reg.exe' /pid=3052
- '<SYSTEM32>\reg.exe' /C reg add "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /t reg_sz /d http://www.23##.com/?ka### /f >nul 2>nul
- '<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /t reg_sz /d http://www.23##.com/?ka### /f
- '<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main" /v "Default_Page_URL" /t reg_sz /d http://www.23##.com/?ka### /f
- '<SYSTEM32>\reg.exe' /pid=3428
- '<SYSTEM32>\reg.exe' /pid=3452
- '<SYSTEM32>\reg.exe' /C reg add "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main" /v "Default_Page_URL" /t reg_sz /d http://www.23##.com/?ka### /f >nul 2>nul
- '<SYSTEM32>\reg.exe' /pid=3076
- '<SYSTEM32>\reg.exe' /S
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cmd.exe
- <SYSTEM32>\reg.exe
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- C:\p3_kafee_bn737JyruhRgXWmk0k_v12.2.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\p[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\p[1]
- C:\2345pack.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\p3_kafee_bn737JyruhRgXWmk0k_v12.2[1].exe
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\p[1]
Сетевая активность:
Подключается к:
- 'www.24##tp.com':80
- 'localhost':1042
- 'localhost':1047
- 'localhost':1036
- 'ji#####wnload.2345.cn':80
- 'localhost':1039
TCP:
Запросы HTTP GET:
- www.24##tp.com/p?ui############
- ji#####wnload.2345.cn/jifen_2345/p3_kafee_bn737JyruhRgXWmk0k_v12.2.exe
UDP:
- DNS ASK www.23##.com
- DNS ASK www.24##tp.com
- DNS ASK ji#####wnload.2345.cn
Другое:
Ищет следующие окна:
- ClassName: 'IEFrame' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: '(null)' WindowName: '????????? 2013?12??3?(???60?????!)'
- ClassName: '(null)' WindowName: '????????? 2013?12??2?(???60?????!)'
- ClassName: '' WindowName: '(null)'
- ClassName: 'Button' WindowName: '??(I)'
