Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<Текущая директория>\IPease\CheckRun.exe'
- '<Текущая директория>\IPease\IPease.exe' /ipease.exe
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2.tmp" "%TEMP%\CSC1.tmp"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\az7nqtzs.cmdline"
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1407' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1406' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1400' = '00000000'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RES2.tmp
- %TEMP%\az7nqtzs.dll
- %TEMP%\CSC1.tmp
- %TEMP%\az7nqtzs.cmdline
- %TEMP%\az7nqtzs.out
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ip[1].asp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\ip[1].asp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ip[1].asp
- <Текущая директория>\IPease\Set.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ip[1].asp
- %TEMP%\az7nqtzs.0.cs
- <Текущая директория>\IPease\Interop.IWshRuntimeLibrary.dll
- <Текущая директория>\IPease\Interop.SHDocVw.dll
- <Текущая директория>\IPease\IBrowser.exe
- <Текущая директория>\IPease\AxInterop.SHDocVw.dll
- <Текущая директория>\IPease\CheckRun.exe
- <Текущая директория>\IPease\Update.exe
- <Текущая директория>\IPease\weifenluo.winformsui.docking.dll
- <Текущая директория>\IPease\Microsoft.mshtml.dll
- <Текущая директория>\IPease\IPease.exe
- <Текущая директория>\IPease\IPIn.dll
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ip[1].asp
- %TEMP%\az7nqtzs.out
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ip[1].asp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\ip[1].asp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ip[1].asp
- %TEMP%\CSC1.tmp
- %TEMP%\RES2.tmp
- %TEMP%\az7nqtzs.0.cs
- %TEMP%\az7nqtzs.dll
- %TEMP%\az7nqtzs.cmdline
Сетевая активность:
Подключается к:
- 'wp#d':80
- 'dd.##ease.net':80
- 'localhost':1037
- 'fs.##ddsa.net':80
TCP:
Запросы HTTP GET:
- wp#d/wpad.dat
- fs.##ddsa.net/ip.asp
UDP:
- DNS ASK dd.##ease.net
- DNS ASK wp#d
- DNS ASK fs.##ddsa.net
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: '????'
- ClassName: '(null)' WindowName: '???? - ????'
- ClassName: '(null)' WindowName: 'Microsoft Visual C++ Runtime Library'
- ClassName: '(null)' WindowName: '.NET-BroadcastEventWindow.2.0.0.0.33c0d9d.0: IBrowser.exe - ??????'
- ClassName: '(null)' WindowName: '.NET-BroadcastEventWindow.2.0.0.0.378734a.0: IBrowser.exe - ??????'
- ClassName: '(null)' WindowName: '???????????'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: '(null)' WindowName: 'IBrowser.exe - Fatal error'
- ClassName: '(null)' WindowName: 'IBrowser.exe - ??????'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
