Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\sqlite3.exe' "%APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\cookies.sqlite" "select value, expiry from moz_cookies where (baseDomain='reimageplus.com' or baseDomain='www.re####eplus.com') and name='_campaign';"
- '%TEMP%\nsdF528.tmp\ns322.tmp' "%TEMP%\FF.bat" > %TEMP%\FF.txt
- '%TEMP%\nsdF528.tmp\ns16B4.tmp' cmd /C tasklist /FI "IMAGENAME eq AVupdate.exe" > %TEMP%\IsProcessActive.txt
- '%TEMP%\nsdF528.tmp\ns7B5.tmp' cmd /C tasklist /FI "IMAGENAME eq reimage.exe" > %TEMP%\IsProcessActive.txt
- '%TEMP%\sqlite3.exe' "%APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\cookies.sqlite" "select value, expiry from moz_cookies where (baseDomain='reimageplus.com' or baseDomain='www.re####eplus.com') and name='_trackid';"
- '%TEMP%\nsdF528.tmp\nsF97D.tmp' "%TEMP%\FF.bat" > %TEMP%\FF.txt
- '%TEMP%\sqlite3.exe' "%APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\cookies.sqlite" "select value, expiry from moz_cookies where (baseDomain='reimageplus.com' or baseDomain='www.re####eplus.com') and name='_tracking';"
- '%TEMP%\nsdF528.tmp\nsFEBD.tmp' "%TEMP%\FF.bat" > %TEMP%\FF.txt
Запускает на исполнение:
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq AVupdate.exe"
- '<SYSTEM32>\DllHost.exe' /Processid:{AB8902B4-09CA-4BB6-B78D-A8F59079A8D5}
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\FF.bat" > %TEMP%\FF.txt"
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq reimage.exe"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\IsProcessActive.txt
- %TEMP%\nsdF528.tmp\ns16B4.tmp
- %TEMP%\nsdF528.tmp\inetc.dll
- %TEMP%\nsn2D3.tmp
- %TEMP%\nsdF528.tmp\ns322.tmp
- %TEMP%\nsdF528.tmp\ns7B5.tmp
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\install_start[1].php
- %TEMP%\nsdF528.tmp\modern-header.bmp
- C:\Users\Public\Desktop\Resume Reimage Repair Installation.lnk
- %TEMP%\nsdF528.tmp\nsDialogs.dll
- %TEMP%\InstallationPixel.txt
- %TEMP%\nsdF528.tmp\installer-164x314.bmp
- %TEMP%\nsdF528.tmp\AVGtoolbar.bmp
- %WINDIR%\Reimage.ini
- %TEMP%\nsdF528.tmp\UserInfo.dll
- %TEMP%\nsdF528.tmp\WmiInspector.dll
- %TEMP%\nsdF528.tmp\LogEx.dll
- %TEMP%\downloader log.txt
- %TEMP%\nsdF528.tmp\System.dll
- %TEMP%\sqlite3.exe
- %TEMP%\nsdF528.tmp\nsF97D.tmp
- %TEMP%\nsiFE6E.tmp
- %TEMP%\nsdF528.tmp\nsFEBD.tmp
- %TEMP%\nsdF91F.tmp
- %TEMP%\FF.bat
- %TEMP%\nsdF528.tmp\nsExec.dll
Удаляет следующие файлы:
- %TEMP%\nsdF528.tmp\ns7B5.tmp
- %TEMP%\nsdF528.tmp\ns322.tmp
- %TEMP%\IsProcessActive.txt
- %TEMP%\InstallationPixel.txt
- %TEMP%\nsdF528.tmp\ns16B4.tmp
- %TEMP%\nsn2D3.tmp
- %TEMP%\nsdF528.tmp\nsF97D.tmp
- %TEMP%\nsdF91F.tmp
- %TEMP%\FF.bat
- %TEMP%\nsdF528.tmp\nsFEBD.tmp
- %TEMP%\nsiFE6E.tmp
Сетевая активность:
Подключается к:
- 'www.re###geplus.com':80
TCP:
Запросы HTTP GET:
- www.re###geplus.com/includes/install_start.php?tr###################################################################################################################
UDP:
- DNS ASK www.re###geplus.com
