Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\SearchArmour.job
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\SearchArmourFolder\SearchArmour.exe' /install
- '%PROGRAM_FILES%\SearchArmourFolder\SearchArmourUpd.exe' /install
Завершает или пытается завершить
следующие пользовательские процессы:
- chrome.exe
- firefox.exe
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\SearchArmourFolder\uninstall.exe
- %WINDIR%\Debug\UserMode\gpedit.log
- <SYSTEM32>\GroupPolicy\Machine\Registry.pol
- %TEMP%\installed.tmp
- %ALLUSERSPROFILE%\ntuser.pol
- %TEMP%\nsa3.tmp\NSISdl.dll
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\searchplugins\torcho.xml
- %PROGRAM_FILES%\SearchArmourFolder\SearchArmour.exe
- %TEMP%\nsa3.tmp\KillProcDLL.dll
- %TEMP%\nsp2.tmp
- <SYSTEM32>\GroupPolicy\gpt.ini
- %PROGRAM_FILES%\SearchArmourFolder\sqlite3.dll
- %PROGRAM_FILES%\SearchArmourFolder\SearchArmourUpd.exe
Удаляет следующие файлы:
- %TEMP%\nsa3.tmp\NSISdl.dll
- %TEMP%\nsa3.tmp\KillProcDLL.dll
- %TEMP%\installed.tmp
Сетевая активность:
Подключается к:
- 'uk.##popti.net':80
TCP:
Запросы HTTP GET:
- uk.##popti.net/report/installed/?af####################################
UDP:
- DNS ASK uk.##popti.net
