Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\nse2.tmp\ns4.tmp' "%PROGRAM_FILES%\IEE-X\neat-image-70_32bit.exe"
- '%PROGRAM_FILES%\IEE-X\neat-image-70_32bit.exe'
- '%TEMP%\is-2B4RB.tmp\neat-image-70_32bit.tmp' /SL5="$2010E,3945440,53248,%PROGRAM_FILES%\IEE-X\neat-image-70_32bit.exe"
- '%TEMP%\nse2.tmp\ns3.tmp' "%PROGRAM_FILES%\IEE-X\setup.exe"
- '%PROGRAM_FILES%\IEE-X\Setup.exe'
- '%TEMP%\n7865\s7865.exe' ins.exe /h 7e7b54.api.socdn.com /e 12830935 /u 5062d47f-b8cc-411a-9555-12ab5bc06f2f /v "%PROGRAM_FILES%\IEE-X\setup.exe"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\is-2B4RB.tmp\neat-image-70_32bit.tmp
- %TEMP%\nse2.tmp\ns4.tmp
- %TEMP%\is-EG6MI.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-EG6MI.tmp\_isetup\_RegDLL.tmp
- %TEMP%\n7865\s7865.exe
- %PROGRAM_FILES%\IEE-X\neat-image-70_32bit.exe
- %PROGRAM_FILES%\IEE-X\Setup.exe
- %TEMP%\nse2.tmp\ns3.tmp
- %TEMP%\nse2.tmp\nsExec.dll
Удаляет следующие файлы:
- %TEMP%\nse2.tmp\ns3.tmp
Сетевая активность:
Подключается к:
- 'localhost':1040
- '7e####.api.socdn.com':80
TCP:
Запросы HTTP GET:
- 7e####.api.socdn.com/installer/5062d47f-b8cc-411a-9555-12ab5bc06f2f/12830935/config
Запросы HTTP POST:
- 7e####.api.socdn.com/
UDP:
- DNS ASK 7e####.api.socdn.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'SysListView32' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: '#32770' WindowName: '(null)'
