Adware.Plugin.49

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\services\sppsvc] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\7zS1110.tmp\51677c5bbf07f.exe' /s

Запускает на исполнение:

'<SYSTEM32>\slui.exe' -Embedding
'<SYSTEM32>\sppsvc.exe'
'<SYSTEM32>\Wat\WatAdminSvc.exe' /run
'<SYSTEM32>\Wat\WatAdminSvc.exe'

Изменения в файловой системе:

Создает следующие файлы:

<LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\kbigejikckmaiekoidkhnlajjhifimkj\1\background.html
<LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\kbigejikckmaiekoidkhnlajjhifimkj\1\content.js
<LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\kbigejikckmaiekoidkhnlajjhifimkj\1\lsdb.js
<LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\kbigejikckmaiekoidkhnlajjhifimkj\1\51677c5bbee979.05767492.js
%APPDATA%\Roaming\Mozilla\Firefox\Profiles\fzv9i9tr.default\extensions\rjqpuao@y-iei.com\chrome.manifest
%APPDATA%\Roaming\Mozilla\Firefox\Profiles\fzv9i9tr.default\extensions\rjqpuao@y-iei.com\install.rdf
%APPDATA%\Roaming\Mozilla\Firefox\Profiles\fzv9i9tr.default\extensions\rjqpuao@y-iei.com\content\bg.js
<LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\kbigejikckmaiekoidkhnlajjhifimkj\1\manifest.json
%WINDIR%\Temp\tmp98E4.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\CabB894.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\CabB8A6.tmp
%WINDIR%\ServiceProfiles\LocalService\AppData\LocalLow\Microsoft\CryptnetUrlCache\Content\C24EC5BDAF13613245B4CECC3DE91DC6
<LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\kbigejikckmaiekoidkhnlajjhifimkj\1\sqlite.js
%TEMP%\nsf15C2.tmp\nsJSON.dll
%WINDIR%\ServiceProfiles\LocalService\AppData\LocalLow\Microsoft\CryptnetUrlCache\MetaData\C24EC5BDAF13613245B4CECC3DE91DC6
%APPDATA%\Roaming\Mozilla\Firefox\Profiles\fzv9i9tr.default\extensions\rjqpuao@y-iei.com\bootstrap.js
%TEMP%\7zS1110.tmp\rjqpuao@y-iei.com\bootstrap.js
%TEMP%\7zS1110.tmp\kbigejikckmaiekoidkhnlajjhifimkj\content.js
%TEMP%\7zS1110.tmp\kbigejikckmaiekoidkhnlajjhifimkj\lsdb.js
%TEMP%\7zS1110.tmp\rjqpuao@y-iei.com\content\bg.js
%TEMP%\7zS1110.tmp\rjqpuao@y-iei.com\chrome.manifest
%TEMP%\7zS1110.tmp\kbigejikckmaiekoidkhnlajjhifimkj\background.html
%TEMP%\7zS1110.tmp\kbigejikckmaiekoidkhnlajjhifimkj\51677c5bbee979.05767492.js
%TEMP%\7zS1110.tmp\kbigejikckmaiekoidkhnlajjhifimkj\sqlite.js
%TEMP%\7zS1110.tmp\kbigejikckmaiekoidkhnlajjhifimkj\manifest.json
%TEMP%\7zS1110.tmp\rjqpuao@y-iei.com\install.rdf
%TEMP%\nsf15C2.tmp\UserInfo.dll
%TEMP%\7zS1110.tmp\51677c5bbf0b8.tlb
%TEMP%\7zS1110.tmp\settings.ini
%TEMP%\7zS1110.tmp\51677c5bbf07f.exe
%TEMP%\7zS1110.tmp\51677c5bbf0b8.dll

Удаляет следующие файлы:

%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\CabB8A6.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\CabB894.tmp
%WINDIR%\Temp\tmp98E4.tmp

Сетевая активность:

Подключается к:

'20#.#6.232.182':80
'ct###.#indowsupdate.com':80

TCP:

Запросы HTTP GET:

20#.#6.232.182/fwlink/?Li###########
ct###.#indowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?6c##############
20#.#6.232.182/pki/crl/products/WinPCA.crl
ct###.#indowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?22##############
20#.#6.232.182/pki/crl/products/microsoftrootcert.crl

UDP: