Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'perkda' = '%PROGRAM_FILES%\Perk Prize Panel\pdr.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'dnsshield' = '%PROGRAM_FILES%\Social Privacy DNS\dnswatch.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\Social Privacy DNS\dnswatch.exe'
- '%PROGRAM_FILES%\Perk Prize Panel\pdr.exe'
- '%TEMP%\nsoFA94.tmp\setup.exe' -carrier_type=ctid -carrier_id=CT3317458 -platform=all -startpage=true -defaultsearch=true -local=en-us
- '%PROGRAM_FILES%\Perk Prize Panel\sqlite3.exe' %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions.sqlite "INSERT INTO main.addon VALUES ('3','pp@perk.com','app-profile','1.0','extension','',null,null,null,null,null,null,null,'255','1','1','0','0','0','%PROGRAM_FILES%\Perk Prize Panel\FF','1323463190000','1323463190000','1','1','0','442522','',null,'0','0');"
- '%PROGRAM_FILES%\Perk Prize Panel\pdri.exe' /S
- '%PROGRAM_FILES%\Perk Prize Panel\spdns.exe'
- '%TEMP%\nsoFA94.tmp\setup.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' /s "%PROGRAM_FILES%\Perk Prize Panel\pp.dll"
- '<SYSTEM32>\regsvr32.exe' /s /u "%PROGRAM_FILES%\Perk Prize Panel\pp.dll"
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\Social Privacy DNS\Uninstall.exe
- %PROGRAM_FILES%\Perk Prize Panel\pdr.exe
- %TEMP%\nsy1593.tmp\nsislog.dll
- %TEMP%\nso164E.tmp\nsProcess.dll
- %TEMP%\nsy1593.tmp\Processes.dll
- %PROGRAM_FILES%\Social Privacy DNS\dnswatch.exe
- %PROGRAM_FILES%\Perk Prize Panel\install.log
- %TEMP%\nsoFA94.tmp\inetc.dll
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\postinstall[1].php
- %PROGRAM_FILES%\Perk Prize Panel\r.log
- %TEMP%\nsoFA94.tmp\nsisdl.dll
- %TEMP%\nsoFA94.tmp\setup.exe
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\update_pdr[1].xml
- %TEMP%\nsy1593.tmp\perknsis.dll
- %PROGRAM_FILES%\Perk Prize Panel\pdri.exe
- %PROGRAM_FILES%\Perk Prize Panel\pp.dll
- %PROGRAM_FILES%\Perk Prize Panel\spdns.exe
- %TEMP%\nsoFA94.tmp\nsProcess.dll
- %TEMP%\nsoFA94.tmp\System.dll
- %PROGRAM_FILES%\Perk Prize Panel\code.zip
- %PROGRAM_FILES%\Perk Prize Panel\sqlite3.exe
- %PROGRAM_FILES%\Perk Prize Panel\FF\chrome\content\overlay.xul
- %PROGRAM_FILES%\Perk Prize Panel\Uninstall.exe
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\user.js
- %PROGRAM_FILES%\Perk Prize Panel\FF\chrome.manifest
- %PROGRAM_FILES%\Perk Prize Panel\FF\install.rdf
- %PROGRAM_FILES%\Perk Prize Panel\FF\chrome\content\main.js
Удаляет следующие файлы:
- %TEMP%\nsoFA94.tmp\nsProcess.dll
- %TEMP%\nsoFA94.tmp\nsisdl.dll
- %TEMP%\nsoFA94.tmp\System.dll
- %TEMP%\nsoFA94.tmp\setup.exe
- %TEMP%\nsoFA94.tmp\inetc.dll
- %TEMP%\nsy1593.tmp\nsislog.dll
- %TEMP%\nso164E.tmp\nsProcess.dll
- %TEMP%\nsy1593.tmp\Processes.dll
- %TEMP%\nsy1593.tmp\perknsis.dll
Сетевая активность:
Подключается к:
- 'nb#.#erk.com':80
- 'up#####.socialprivacy.org':80
- 'sp#######e.conduit-services.com':80
- 'localhost':51864
TCP:
Запросы HTTP GET:
- nb#.#erk.com/da.php?su######################################
- up#####.socialprivacy.org/native/postinstall.php?sr##################################
- sp#######e.conduit-services.com/sp-downloader.exe
- nb#.#erk.com/perkcoupons/update_pdr.xml?su#####################################
UDP:
- DNS ASK up#####.socialprivacy.org
- DNS ASK nb#.#erk.com
- DNS ASK sp#######e.conduit-services.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebCheckMonitor' WindowName: '(null)'
- ClassName: 'Chrome_WidgetWin_0' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
