Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\nsp2.tmp\F1023_s_30974.exe'
- '%TEMP%\nsp2.tmp\G1031_s_71117.exe'
- '%TEMP%\nsp2.tmp\9377mycs_Y_mgaz2_01.exe'
- '%TEMP%\nsp2.tmp\aodce.exe'
- '%TEMP%\nsp2.tmp\IQIYIsetup_l_spl004@kb010.exe'
- '%TEMP%\nsp2.tmp\setup_95165069.exe'
- '%TEMP%\nsp2.tmp\BFVCenter-y4bd2[[BB027]].exe'
- '%TEMP%\nsp2.tmp\SoHuVA_4.2.0.16-c204900009-ng-s-run-x.exe'
- '%TEMP%\nsp2.tmp\ins1256858.exe'
- '%TEMP%\nsp2.tmp\OfficeAssist.0419.80.1123.exe'
- '%TEMP%\nsp2.tmp\Baidu_Com_90000214.exe'
- '%TEMP%\nsp2.tmp\2345Explorer_329242_silence.exe'
- '%TEMP%\nsp2.tmp\MM-liao8398.exe'
- '%TEMP%\nsp2.tmp\hkyl_yls_hk2014_202lm.exe'
- '%TEMP%\nsp2.tmp\yx_dts.exe'
- '%TEMP%\nsp2.tmp\QQBrowser_Setup_Hk_78653.exe'
- '%TEMP%\nsp2.tmp\aodce.exe' (загружен из сети Интернет)
- '%TEMP%\nsp2.tmp\2345Explorer_329242_silence.exe' (загружен из сети Интернет)
- '%TEMP%\nsp2.tmp\IQIYIsetup_l_spl004@kb010.exe' (загружен из сети Интернет)
- '%TEMP%\nsp2.tmp\QQBrowser_Setup_Hk_78653.exe' (загружен из сети Интернет)
- '%TEMP%\nsp2.tmp\setup_95165069.exe' (загружен из сети Интернет)
- '%TEMP%\nsp2.tmp\BFVCenter-y4bd2[[BB027]].exe' (загружен из сети Интернет)
- '%TEMP%\nsp2.tmp\MM-liao8398.exe' (загружен из сети Интернет)
- '%TEMP%\nsp2.tmp\hkyl_yls_hk2014_202lm.exe' (загружен из сети Интернет)
- '%TEMP%\nsp2.tmp\Baidu_Com_90000214.exe' (загружен из сети Интернет)
- '%TEMP%\nsp2.tmp\yx_dts.exe' (загружен из сети Интернет)
- '%TEMP%\nsp2.tmp\OfficeAssist.0419.80.1123.exe' (загружен из сети Интернет)
- '%TEMP%\nsp2.tmp\SoHuVA_4.2.0.16-c204900009-ng-s-run-x.exe' (загружен из сети Интернет)
- '%TEMP%\nsp2.tmp\ins1256858.exe' (загружен из сети Интернет)
- '%TEMP%\nsp2.tmp\G1031_s_71117.exe' (загружен из сети Интернет)
- '%TEMP%\nsp2.tmp\9377mycs_Y_mgaz2_01.exe' (загружен из сети Интернет)
- '%TEMP%\nsp2.tmp\F1023_s_30974.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsp2.tmp\ins1256858.exe
- %TEMP%\nsp2.tmp\BFVCenter-y4bd2[[BB027]].exe
- %TEMP%\nsp2.tmp\SoHuVA_4.2.0.16-c204900009-ng-s-run-x.exe
- %TEMP%\nsp2.tmp\F1023_s_30974.exe
- %TEMP%\nsp2.tmp\G1031_s_71117.exe
- %TEMP%\nsp2.tmp\QQBrowser_Setup_Hk_78653.exe
- %TEMP%\nsp2.tmp\2345Explorer_329242_silence.exe
- %TEMP%\nsp2.tmp\aodce.exe
- %TEMP%\nsp2.tmp\setup_95165069.exe
- %TEMP%\nsp2.tmp\IQIYIsetup_l_spl004@kb010.exe
- %TEMP%\nsp2.tmp\9377mycs_Y_mgaz2_01.exe
- %TEMP%\nsp2.tmp\1.rar
- %TEMP%\nsp2.tmp\yx_dts.exe
- %TEMP%\nsp2.tmp\Inetc.dll
- %TEMP%\nsp2.tmp\System.dll
- %TEMP%\nsp2.tmp\2.ico
- %TEMP%\nsp2.tmp\MM-liao8398.exe
- %TEMP%\nsp2.tmp\hkyl_yls_hk2014_202lm.exe
- %TEMP%\nsp2.tmp\Base64.dll
- %TEMP%\nsp2.tmp\OfficeAssist.0419.80.1123.exe
- %TEMP%\nsp2.tmp\Baidu_Com_90000214.exe
Удаляет следующие файлы:
- %TEMP%\nsp2.tmp\OfficeAssist.0419.80.1123.exe
- %TEMP%\nsp2.tmp\QQBrowser_Setup_Hk_78653.exe
- %TEMP%\nsp2.tmp\MM-liao8398.exe
- %TEMP%\nsp2.tmp\ins1256858.exe
- %TEMP%\nsp2.tmp\IQIYIsetup_l_spl004@kb010.exe
- %TEMP%\nsp2.tmp\setup_95165069.exe
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
- <SYSTEM32>\PerfStringBackup.TMP
- %TEMP%\nsp2.tmp\yx_dts.exe
- %TEMP%\nsp2.tmp\SoHuVA_4.2.0.16-c204900009-ng-s-run-x.exe
- %TEMP%\nsp2.tmp\System.dll
- %TEMP%\nsp2.tmp\aodce.exe
- %TEMP%\nsp2.tmp\Baidu_Com_90000214.exe
- %TEMP%\nsp2.tmp\9377mycs_Y_mgaz2_01.exe
- %TEMP%\nsp2.tmp\2.ico
- %TEMP%\nsp2.tmp\2345Explorer_329242_silence.exe
- %TEMP%\nsp2.tmp\Base64.dll
- %TEMP%\nsp2.tmp\hkyl_yls_hk2014_202lm.exe
- %TEMP%\nsp2.tmp\Inetc.dll
- %TEMP%\nsp2.tmp\G1031_s_71117.exe
- %TEMP%\nsp2.tmp\BFVCenter-y4bd2[[BB027]].exe
- %TEMP%\nsp2.tmp\F1023_s_30974.exe
Сетевая активность:
Подключается к:
- 'g.###en320.com':80
- 'dl.##ofeng.com':80
- 'xi###i.9377.com':80
- 'p2#.#d.sohu.com':80
- 'dl###1.qq.com':80
- 'do####ad.2345.cn':80
- 'dl.#x5.com':80
- 'dl.###tic.iqiyi.com':80
- 'id#.##--r93a55o.cc':80
- '12#.#25.114.144':80
- 'in#.###ol.sina.com.cn':80
- 'ic####.b0.upaiyun.com':443
- 'www.ba###hijz.com':80
- 'do##.woka123.cn':80
- 'localhost':1046
- 'mm####.jianting.net':80
TCP:
Запросы HTTP GET:
- g.###en320.com/d/ins1256858.exe
- dl.##ofeng.com/BFVCenter/BFVCenter-y4bd2[[BB027]].exe
- id#.##--r93a55o.cc/G1031_s_71117.exe
- p2#.#d.sohu.com/dcs.do?f=##############################
- dl.#x5.com/apk/20141222/setup_95165069.exe
- dl###1.qq.com/invc/tt/QQBrowser_Setup_Hk_78653.exe
- do####ad.2345.cn/silence/2345Explorer_329242_silence.exe
- dl.###tic.iqiyi.com/hz/IQIYIsetup_l_spl004@kb010.exe
- 12#.#25.114.144/go/mini/12/10000024
- id#.##--r93a55o.cc/OfficeAssist.0419.80.1123.exe
- 12#.#25.114.144/index/mini_2to1_download/90000214
- in#.###ol.sina.com.cn/iplookup/iplookup.php
- id#.##--r93a55o.cc/yx_dts.exe
- mm####.jianting.net/mmliao/MM-liao8398.exe
- xi###i.9377.com/20141201/9377mycs_Y_mgaz2_01.exe
- id#.##--r93a55o.cc/F1023_s_30974.exe
- www.ba###hijz.com/YjY2MmVmNDkuZXhl/40.html
- do##.woka123.cn/qudao/hk/hkyl_yls_hk2014_202lm.exe
UDP:
- DNS ASK dl.##ofeng.com
- DNS ASK dl.#x5.com
- DNS ASK p2#.#d.sohu.com
- DNS ASK g.###en320.com
- DNS ASK dl###1.qq.com
- DNS ASK do####ad.2345.cn
- DNS ASK dl.###tic.iqiyi.com
- DNS ASK w.#.#aidu.com
- DNS ASK id#.##--r93a55o.cc
- DNS ASK sh###.baidu.com
- DNS ASK in#.###ol.sina.com.cn
- DNS ASK ic####.b0.upaiyun.com
- DNS ASK do##.woka123.cn
- DNS ASK xi###i.9377.com
- DNS ASK mm####.jianting.net
- DNS ASK www.ba###hijz.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'IEFrame' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: ''
