Adware.Downware.5822

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\f9626892-7a78-3199-abd2-97bbce96297b\BI_Component.exe' -event=1 -pub_id=90 -setup_id=1 -av=

Запускает на исполнение:

'<SYSTEM32>\rundll32.exe' dfdts.dll,DfdGetDefaultPolicyAndSMART

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\f9626892-7a78-3199-abd2-97bbce96297b\BI_Component.exe
%TEMP%\f9626892-7a78-3199-abd2-97bbce96297b\log_2014_5_22_19_58_47838_1_000000000001.txt
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\installer[1].php
<LS_APPDATA>Low\Microsoft\CryptnetUrlCache\MetaData\1F356F4D07FE8C483E769E4586569404
<LS_APPDATA>Low\Microsoft\CryptnetUrlCache\Content\1F356F4D07FE8C483E769E4586569404
%TEMP%\f9626892-7a78-3199-abd2-97bbce96297b\ICSharpCode.SharpZipLib.dll
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\navcancl[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\info_48[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\BOWDBRP7\background_gradient[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\SOXZEUJX\bullet[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\BOWDBRP7\ErrorPageTemplate[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\SOXZEUJX\errorPageStrings[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\httpErrorPagesScripts[1]
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\CabDF1E.tmp
%TEMP%\Tar699E.tmp
%TEMP%\Cab80F5.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab815F.tmp
%TEMP%\Cab6882.tmp
%TEMP%\Tar6892.tmp
%TEMP%\Cab699D.tmp
%TEMP%\Cab81F1.tmp
<LS_APPDATA>Low\Microsoft\CryptnetUrlCache\MetaData\B69D763EB21649DA26F20618312DEE70
<LS_APPDATA>Low\Microsoft\CryptnetUrlCache\Content\B69D763EB21649DA26F20618312DEE70
%TEMP%\CabDF02.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab820C.tmp
%TEMP%\Cab97C4.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab980E.tmp

Удаляет следующие файлы:

%TEMP%\Cab97C4.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab820C.tmp
%TEMP%\Cab81F1.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\CabDF1E.tmp
%TEMP%\CabDF02.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab980E.tmp
%TEMP%\Cab699D.tmp
%TEMP%\Tar6892.tmp
%TEMP%\Cab6882.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab815F.tmp
%TEMP%\Cab80F5.tmp
%TEMP%\Tar699E.tmp

Сетевая активность:

Подключается к:

'in#####er.stepitapp.com':80
'localhost':56950
'lo##.#tepitapp.com':80
'ev####.stepitapp.com':80
'cr#.##modoca.com':80
'www.download.windowsupdate.com':80
'cr#.##ertrust.com':80
'oc##.#omodoca.com':80
'oc##.#sertrust.com':80

TCP:

Запросы HTTP GET:

in#####er.stepitapp.com/installer.php?id########
cr#.##modoca.com/COMODOCodeSigningCA2.crl
ev####.stepitapp.com/?p=####################################################################################################################################################
ev####.stepitapp.com/?p=############################################################################################################
oc##.#omodoca.com/MFIwUDBOMEwwSjAJBgUrDgMCGgUABBSOJaE2H4hHYQzP74hlLuO41NG%2BEAQUHsWxLH2H2gJofCW8DAeEP7bP3vECEQDqfe9R9PcVwsgUM8zWsVdm
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
cr#.##ertrust.com/UTNAddTrustObject_CA.crt
cr#.##ertrust.com/UTN-USERFirst-Object.crl
oc##.#sertrust.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBRtl6lMY2%2BiPob4twryIF%2BFfgUdvwQUK8NGq7oOyWUqRtF5R8Ri4uHa%2FLgCEBBwnU%2F1VAjXMGAB2OqRdbs%3D

UDP: