Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\is-SGD57.tmp\<Имя вируса>.tmp' /SL5="$40036,3828720,137216,<Полный путь к вирусу>"
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /F /IM SystemSockets.exe
- '<SYSTEM32>\taskkill.exe' /F /IM WConnectorSockets.exe
- '<SYSTEM32>\taskkill.exe' /F /IM ProtectedSearch.exe
- '<SYSTEM32>\taskkill.exe' /F /IM WHomepageShield.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- chrome.exe
- iexplore.exe
- firefox.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\is-1K675.tmp\cinshlpr.dll
- %TEMP%\is-1K675.tmp\Interop.IWshRuntimeLibrary.dll
- %TEMP%\Cab5.tmp
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\1F356F4D07FE8C483E769E4586569404
- %TEMP%\Cab3.tmp
- %TEMP%\is-1K675.tmp\System.Data.SQLite.dll
- %TEMP%\is-1K675.tmp\mainlogo.bmp
- %TEMP%\is-1K675.tmp\installer_preview.bmp
- <LS_APPDATA>\SimplyTech\Toolbar\settings.dat
- %TEMP%\is-SGD57.tmp\System.Data.SQLite.dll
- %TEMP%\is-SGD57.tmp\Interop.IWshRuntimeLibrary.dll
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\1F356F4D07FE8C483E769E4586569404
- %TEMP%\is-1K675.tmp\InstallHelper.dll
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
- %TEMP%\is-1K675.tmp\isxdl.dll
- %TEMP%\is-SGD57.tmp\<Имя вируса>.tmp
- %TEMP%\is-1K675.tmp\_isetup\_shfoldr.dll
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\B69D763EB21649DA26F20618312DEE70
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\B69D763EB21649DA26F20618312DEE70
- %TEMP%\Cab1.tmp
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
Удаляет следующие файлы:
- %TEMP%\Cab5.tmp
- %TEMP%\Cab3.tmp
- %TEMP%\Cab1.tmp
Сетевая активность:
Подключается к:
- 'cr#.##modoca.com':80
- 'cd##.widdit.com':80
- 'cr#.##ertrust.com':80
- 'wp#d':80
- 'www.download.windowsupdate.com':80
TCP:
Запросы HTTP GET:
- cr#.##modoca.com/COMODOCodeSigningCA2.crl
- cd##.widdit.com/toolbar/pub/75087/8679/settings/settingsie_8679.xml
- cd##.widdit.com/toolbar/pub/75087/8679/settings/settingsff_8679.xml
- cr#.##ertrust.com/UTN-USERFirst-Object.crl
- wp#d/wpad.dat
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
UDP:
- DNS ASK cr#.##modoca.com
- DNS ASK cd##.widdit.com
- DNS ASK cr#.##ertrust.com
- DNS ASK wp#d
- DNS ASK www.download.windowsupdate.com
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
