Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = '"%APPDATA%\Microsoft\GZfUEH8UZaEW.exe",explorer.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\nsh3.tmp\DTSetupHelper.exe'
- '%TEMP%\Pv6M1nKkpBOnLMY4.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsh3.tmp\Lang\TRK.dll
- %TEMP%\nsh3.tmp\Lang\SVE.dll
- %TEMP%\nsh3.tmp\Lang\SRL.dll
- %TEMP%\nsh3.tmp\Lang\UKR.dll
- %TEMP%\nsh3.tmp\RegPageType.ini
- %TEMP%\nsh3.tmp\ReinstPage.ini
- %TEMP%\nsh3.tmp\System.dll
- %TEMP%\nsh3.tmp\Lang\SLV.dll
- %TEMP%\nsh3.tmp\Lang\PLK.dll
- %TEMP%\nsh3.tmp\Lang\NOR.dll
- %TEMP%\nsh3.tmp\Lang\NLB.dll
- %TEMP%\nsh3.tmp\Lang\PTB.dll
- %TEMP%\nsh3.tmp\Lang\SKY.dll
- %TEMP%\nsh3.tmp\Lang\RUS.dll
- %TEMP%\nsh3.tmp\Lang\ROM.dll
- %TEMP%\nsh3.tmp\RegPagePaidInfo.ini
- %TEMP%\nsh3.tmp\setuphlp.dll
- %TEMP%\nsh3.tmp\OCSetupHlp.dll
- %TEMP%\nsh3.tmp\MountSpace.ini
- %TEMP%\nsh3.tmp\ioSpecial.ini
- %TEMP%\nsh3.tmp\InstallOptions.dll
- %TEMP%\nsh3.tmp\modern-header.bmp
- %TEMP%\nsh3.tmp\modern-wizard.bmp
- %TEMP%\nsh3.tmp\moutspace-bg.bmp
- %TEMP%\nsh3.tmp\DTSetupHelper.exe
- %TEMP%\nsh3.tmp\RegPageTrialInfo.ini
- %TEMP%\nsh3.tmp\RegPageEmail.ini
- %TEMP%\nsh3.tmp\SetupHelper.exe
- %TEMP%\nsh3.tmp\SetupWaitPage.bmp
- %TEMP%\nsh3.tmp\WaitPage.ini
- %TEMP%\nsh3.tmp\license.bmp
- %TEMP%\nsh3.tmp\Lang\LVI.dll
- %TEMP%\nsh3.tmp\Lang\CHS.dll
- %TEMP%\nsh3.tmp\Lang\CAT.dll
- %TEMP%\nsh3.tmp\Lang\BIH.dll
- %TEMP%\nsh3.tmp\Lang\CHT.dll
- %TEMP%\nsh3.tmp\Lang\DEU.dll
- %TEMP%\nsh3.tmp\Lang\DAN.dll
- %TEMP%\nsh3.tmp\Lang\CSY.dll
- %TEMP%\nsh3.tmp\Lang\BGR.dll
- %TEMP%\ryUFNmWecVVy96x6
- %TEMP%\Pv6M1nKkpBOnLMY4.exe
- %APPDATA%\Microsoft\GZfUEH8UZaEW.exe
- %TEMP%\nsm2.tmp
- %TEMP%\nsh3.tmp\Lang\ARA.dll
- %TEMP%\nsh3.tmp\Lang\AFK.dll
- %APPDATA%\Imminent\Logs\29-12-2014
- %TEMP%\nsh3.tmp\Lang\ELL.dll
- %TEMP%\nsh3.tmp\Lang\ITA.dll
- %TEMP%\nsh3.tmp\Lang\IND.dll
- %TEMP%\nsh3.tmp\Lang\HYE.dll
- %TEMP%\nsh3.tmp\Lang\JPN.dll
- %TEMP%\nsh3.tmp\Lang\LTH.dll
- %TEMP%\nsh3.tmp\Lang\KOR.dll
- %TEMP%\nsh3.tmp\Lang\KAT.dll
- %TEMP%\nsh3.tmp\Lang\HUN.dll
- %TEMP%\nsh3.tmp\Lang\FIN.dll
- %TEMP%\nsh3.tmp\Lang\ESN.dll
- %TEMP%\nsh3.tmp\Lang\ENU.dll
- %TEMP%\nsh3.tmp\Lang\FRA.dll
- %TEMP%\nsh3.tmp\Lang\HRV.dll
- %TEMP%\nsh3.tmp\Lang\HEB.dll
- %TEMP%\nsh3.tmp\Lang\GLC.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\Microsoft\GZfUEH8UZaEW.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'dt.####search-home.com':80
- '21#.#.208.115':9160
TCP:
Запросы HTTP GET:
- dt.####search-home.com/getsettings?qu##################################################################################################################################################################################################
UDP:
- DNS ASK dt.####search-home.com
Другое:
Ищет следующие окна:
- ClassName: '#32770' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
