BackDoor.BlackHole.16943

Техническая информация

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\conhost.exe' --type=utility --channel="564.6.158751866\1508996448" --lang=en-US --with-feature:enhanced-autofill --ignored=" --type=renderer " /prefetch:-645351001
'<SYSTEM32>\rundll32.exe' url.dll,FileProtocolHandler http://www.rd#c.cn

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Downloads\4FA7.tmp
%TEMP%\etilqs_QrxdmOGjaZ1RIi1
%HOMEPATH%\Downloads\4827.tmp
%APPDATA%\Roaming\Opera Software\Opera Stable\History Provider Cache
%APPDATA%\Roaming\Opera Software\Opera Stable\2DD3.tmp
%TEMP%\etilqs_xperRUrA8N46hn3
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\23BUYPX5\background_gradient[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\3U23MFC9\bullet[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\UEWNTWLX\info_48[1]
%HOMEPATH%\Downloads\download:Zone.Identifier
%HOMEPATH%\Downloads\en:Zone.Identifier
%TEMP%\etilqs_VUSMdPN8QDmnglN
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\23BUYPX5\ErrorPageTemplate[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\3U23MFC9\errorPageStrings[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\UEWNTWLX\navcancl[1]
<Текущая директория>\ЕдЦГ.ini
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\Q3W3E5ZH
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\httpErrorPagesScripts[1]
%APPDATA%\Roaming\Opera Software\Opera Stable\Extension Rules\000002.dbtmp
%APPDATA%\Roaming\Opera Software\Opera Stable\Extension Rules\LOG
%APPDATA%\Roaming\Opera Software\Opera Stable\Extension Rules\MANIFEST-000002
%APPDATA%\Roaming\Opera Software\Opera Stable\Extension Rules\MANIFEST-000001
%APPDATA%\Roaming\Opera Software\Opera Stable\Extension Rules\000001.dbtmp

Удаляет следующие файлы:

%APPDATA%\Roaming\Opera Software\Opera Stable\Extension Rules\MANIFEST-000001
%APPDATA%\Roaming\Opera Software\Opera Stable\Extension Rules\CURRENT~RF1006e3.TMP

Перемещает следующие файлы:

%HOMEPATH%\Downloads\4FA7.tmp в %HOMEPATH%\Downloads\en.opdownload
%HOMEPATH%\Downloads\4827.tmp в %HOMEPATH%\Downloads\download.opdownload
%HOMEPATH%\Downloads\en.opdownload в %HOMEPATH%\Downloads\en
%HOMEPATH%\Downloads\download.opdownload в %HOMEPATH%\Downloads\download
%APPDATA%\Roaming\Opera Software\Opera Stable\Extension Rules\000002.dbtmp в %APPDATA%\Roaming\Opera Software\Opera Stable\Extension Rules\CURRENT
%APPDATA%\Roaming\Opera Software\Opera Stable\Extension Rules\000001.dbtmp в %APPDATA%\Roaming\Opera Software\Opera Stable\Extension Rules\CURRENT
%APPDATA%\Roaming\Opera Software\Opera Stable\2DD3.tmp в %APPDATA%\Roaming\Opera Software\Opera Stable\Preferences
%APPDATA%\Roaming\Opera Software\Opera Stable\Extension Rules\CURRENT в %APPDATA%\Roaming\Opera Software\Opera Stable\Extension Rules\CURRENT~RF1006e3.TMP

Сетевая активность:

Подключается к:

'bi##.#ikimedia.org':80
'i.##0.ru':80
'93.##8.134.11':80
'www.go##le.ru':80
'www.ic#.com':80
'me####1.taobao.com':80
'www.rd#c.cn':80
'si#####ck2.opera.com':80
'www.5d##.com':80

TCP:

Запросы HTTP GET:

bi##.#ikimedia.org/favicon/wikipedia.ico
i.##0.ru/2011/icons/rambler.ico
www.go##le.ru/favicon.ico
www.ic#.com/en
93.##8.134.11/favicon.ico
me####1.taobao.com/member/new_register.jhtml?fr#####################
www.rd#c.cn/
www.5d##.com/getip/getip.asp
si#####ck2.opera.com/?ho###################################################
si#####ck2.opera.com/?ho###############################################

UDP:

DNS ASK i.##0.ru
DNS ASK www.ic#.com
DNS ASK bi##.#ikimedia.org
DNS ASK sl####i.yandex.ru
DNS ASK www.go##le.ru
DNS ASK me####1.taobao.com
DNS ASK www.rd#c.cn
DNS ASK www.5d##.com
DNS ASK si#####ck2.opera.com
DNS ASK www.google.com

Другое:

Ищет следующие окна:

ClassName: 'Opera_MessageWindow' WindowName: '%APPDATA%\Roaming\Opera Software\Opera Stable'
ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''