Adware.iBryte.491

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ContentExplorer' = '"<Полный путь к вирусу>"'

Вредоносные функции:

Запускает на исполнение:

'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8565.tmp" "%TEMP%\CSC8555.tmp"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\4up4sljx.cmdline"

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyOverride' = '<-loopback>'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = 'http=127.0.0.1:49172;https=127.0.0.1:49172'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab77B6.tmp
%TEMP%\Cab7831.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab7854.tmp
%TEMP%\Cab7784.tmp
<LS_APPDATA>Low\Microsoft\CryptnetUrlCache\Content\46DE64130271B61D13A0FAFD9465377C_45000A225DD42BC229A903D0187E8196
<LS_APPDATA>Low\Microsoft\CryptnetUrlCache\MetaData\1D6CCA50F68AE111553223740DC9AB88
<LS_APPDATA>Low\Microsoft\CryptnetUrlCache\Content\1D6CCA50F68AE111553223740DC9AB88
%TEMP%\4up4sljx.0.cs
%TEMP%\4up4sljx.dll
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\CabAE06.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\CabAE27.tmp
%TEMP%\RES8565.tmp
%TEMP%\4up4sljx.cmdline
%TEMP%\4up4sljx.out
%TEMP%\CSC8555.tmp
%TEMP%\Cab733E.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab7361.tmp
<LS_APPDATA>Low\Microsoft\CryptnetUrlCache\MetaData\BBB768C456D9E2DCD3EF595C400D483D_64C05B9EB32FC3D0CE6CB126561EEBFF
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab72B3.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab71C5.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab7206.tmp
%TEMP%\Cab7280.tmp
<LS_APPDATA>Low\Microsoft\CryptnetUrlCache\Content\BBB768C456D9E2DCD3EF595C400D483D_64C05B9EB32FC3D0CE6CB126561EEBFF
<LS_APPDATA>Low\Microsoft\CryptnetUrlCache\MetaData\46DE64130271B61D13A0FAFD9465377C_18B357B4E008AB712BF747474088FA5A
<LS_APPDATA>Low\Microsoft\CryptnetUrlCache\Content\46DE64130271B61D13A0FAFD9465377C_18B357B4E008AB712BF747474088FA5A
<LS_APPDATA>Low\Microsoft\CryptnetUrlCache\MetaData\46DE64130271B61D13A0FAFD9465377C_45000A225DD42BC229A903D0187E8196
<LS_APPDATA>Low\Microsoft\CryptnetUrlCache\Content\B681B8816EE79EAEAA5CA7DA9EC0DC58
<LS_APPDATA>Low\Microsoft\CryptnetUrlCache\MetaData\BBB768C456D9E2DCD3EF595C400D483D_9E1895483F6ECDB7829D38B82B7A4EA6
<LS_APPDATA>Low\Microsoft\CryptnetUrlCache\Content\BBB768C456D9E2DCD3EF595C400D483D_9E1895483F6ECDB7829D38B82B7A4EA6
<LS_APPDATA>Low\Microsoft\CryptnetUrlCache\MetaData\B681B8816EE79EAEAA5CA7DA9EC0DC58

Удаляет следующие файлы:

%TEMP%\CSC8555.tmp
%TEMP%\4up4sljx.0.cs
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab7854.tmp
%TEMP%\RES8565.tmp
%TEMP%\4up4sljx.out
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\CabAE06.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\CabAE27.tmp
%TEMP%\4up4sljx.dll
%TEMP%\4up4sljx.cmdline
%TEMP%\Cab7280.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab72B3.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab71C5.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab7206.tmp
%TEMP%\Cab733E.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab77B6.tmp
%TEMP%\Cab7831.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab7361.tmp
%TEMP%\Cab7784.tmp

Сетевая активность:

Подключается к:

'ho##.###tentexplorer.net':80
'localhost':49172
'20#.#6.232.182':80
'cr#.#odaddy.com':80
'ct###.#indowsupdate.com':80
'oc##.#odaddy.com':80
'ce######ates.godaddy.com':80

TCP:

Запросы HTTP GET:

ho##.###tentexplorer.net/appsettings/?id#######################
ct###.#indowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab?36##############
ct###.#indowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab?9c##############
ct###.#indowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?1a##############
20#.#6.232.182/pki/crl/products/CodeSignPCA.crl
20#.#6.232.182/pki/crl/products/WinPCA.crl
20#.#6.232.182/pki/mscorp/crl/mswww(6).crl
ct###.#indowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab?4d##############
ct###.#indowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab?39##############
ct###.#indowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?48##############
oc##.#odaddy.com/MEMwQTA%2FMD0wOzAJBgUrDgMCGgUABBTkIInKBAzXkF0Qh0pel3lfHJ9GPAQU0sSw0pHUTBFxs2HLPaH%2B3ahq1OMCAgMB
cr#.#odaddy.com/gds5-16.crl
oc##.#odaddy.com//MEgwRjBEMEIwQDAJBgUrDgMCGgUABBRwKSJ2U38avI%2FVPJSE6RTLdioFKgQU%2FaxhMpNsRdbi7oVfmrrndplozOcCBysUu8o38UA%3D
ce######ates.godaddy.com/repository/gdroot.crl