Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\nsc2.tmp\ns8.tmp' "%TEMP%\nsc2.tmp\e.bat" "%TEMP%\nsc2.tmp" "<LS_APPDATA>\Google\Chrome\User Data\Default"
- '%TEMP%\nsc2.tmp\max.exe' {2159CB25-EF9A-54C1-B43C-E30D1A4A8277}
- '%TEMP%\nsc2.tmp\SP.exe' /S
- '%TEMP%\nsc2.tmp\e.bat' "%TEMP%\nsc2.tmp" "<LS_APPDATA>\Google\Chrome\User Data\Default"
- '%TEMP%\nsc2.tmp\ns5.tmp' "%TEMP%\nsc2.tmp\max.exe" {2159CB25-EF9A-54C1-B43C-E30D1A4A8277}
- '%TEMP%\nsc2.tmp\str.exe' -d -s "%PROGRAM_FILES%\Like\Like.dll" /accepteula
- '%TEMP%\nsc2.tmp\ns3.tmp' "%TEMP%\nsc2.tmp\str.exe" -d -s "%PROGRAM_FILES%\Like\Like.dll" /accepteula
- '%TEMP%\nsc2.tmp\ns4.tmp' "%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe" "%PROGRAM_FILES%\Like\Like.dll" /s /codebase
- '%TEMP%\nsc2.tmp\SP.exe' (загружен из сети Интернет)
- '%TEMP%\nsc2.tmp\e.bat' (загружен из сети Интернет)
- '%TEMP%\nsc2.tmp\str.exe' (загружен из сети Интернет)
- '%TEMP%\nsc2.tmp\max.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe' "%PROGRAM_FILES%\Like\Like.dll" /s /codebase
Завершает или пытается завершить
следующие пользовательские процессы:
- chrome.exe
- firefox.exe
- iexplore.exe
Изменения в файловой системе:
Создает следующие файлы:
- <Текущая директория>\nso7.tmp
- %TEMP%\nsc2.tmp\nsJSON.dll
- %TEMP%\nsc2.tmp\e.bat
- %TEMP%\nsc2.tmp\SimpleSC.dll
- <Текущая директория>\nsm6.tmp
- %TEMP%\nsc2.tmp\nsisFile.dll
- %TEMP%\nsc2.tmp\event
- %TEMP%\nsc2.tmp\SP.exe
- %PROGRAM_FILES%\Like\uninst.exe
- %TEMP%\nsc2.tmp\f.sql
- %TEMP%\nsc2.tmp\sqlite3.exe
- %TEMP%\nsc2.tmp\ns8.tmp
- %TEMP%\nsc2.tmp\index.html
- %TEMP%\nsc2.tmp\str.exe
- %TEMP%\nsc2.tmp\nsProcess.dll
- %TEMP%\nsc2.tmp\likeie.zip
- %TEMP%\nsc2.tmp\System.dll
- %TEMP%\nsc2.tmp\inetc.dll
- %TEMP%\nsc2.tmp\max.exe
- %TEMP%\nsc2.tmp\ns4.tmp
- %TEMP%\nsc2.tmp\ns5.tmp
- %TEMP%\nsc2.tmp\nsUnzip.dll
- %TEMP%\nsc2.tmp\nsExec.dll
- %TEMP%\nsc2.tmp\ns3.tmp
Удаляет следующие файлы:
- <Текущая директория>\nsm6.tmp
- <Текущая директория>\nso7.tmp
- %TEMP%\nsc2.tmp\ns8.tmp
- %TEMP%\nsc2.tmp\ns3.tmp
- %TEMP%\nsc2.tmp\ns4.tmp
- %TEMP%\nsc2.tmp\ns5.tmp
Сетевая активность:
Подключается к:
- 'www.it###ike.com':80
- 'dv#######9qkz.cloudfront.net':80
- 'di#######nk7d.cloudfront.net':80
- 'd1#######ffo0h.cloudfront.net':80
TCP:
Запросы HTTP GET:
- dv#######9qkz.cloudfront.net/lite.exe
- dv#######9qkz.cloudfront.net/b
- dv#######9qkz.cloudfront.net/SP
- dv#######9qkz.cloudfront.net/log?ev#####################################################################
- dv#######9qkz.cloudfront.net/e
- di#######nk7d.cloudfront.net/str.exe
- di#######nk7d.cloudfront.net/max.exe
- www.it###ike.com/addon/lu/12/
- d1#######ffo0h.cloudfront.net/likeie.zip
UDP:
- DNS ASK www.it###ike.com
- DNS ASK dv#######9qkz.cloudfront.net
- DNS ASK di#######nk7d.cloudfront.net
- DNS ASK d1#######ffo0h.cloudfront.net
Другое:
Ищет следующие окна:
- ClassName: 'SysListView32' WindowName: ''
- ClassName: '#32770' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
