Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\SPBIW_UpdateTask_Time_3331313638343636372d3437415a556c2a3223346c41.job
- %WINDIR%\Tasks\ShopperProJSUpd.job
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\SPBIUpd] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%CommonProgramFiles%\ShopperPro\spbia.exe' /Command:QueryData /Url:_?dsid=1&s=Unknown&v=1.0.0.4&mid=AAAJAJA3A0A1A3A3A9ieA1A91J7L773DiLAiiAA13D1J&usetmd5=&bmd5=&hpp=1&spp=1&ntp=1
- '%CommonProgramFiles%\ShopperPro\spbiu.exe' /service
- '%PROGRAM_FILES%\ShopperPro\ShopperPro.exe' /S
- '%TEMP%\nss6.tmp\ns9.tmp' cmd /C ""%PROGRAM_FILES%\ShopperPro\ShopperPro.exe" /S"
- '%TEMP%\nss6.tmp\ns8.tmp' cmd /C ""%CommonProgramFiles%\ShopperPro\spbiu.exe" /install"
- '%TEMP%\nst3.tmp\setup.exe' /S
- '%CommonProgramFiles%\ShopperPro\spbiu.exe' "/invoke" "/f:check_services" "/l:0"
- '%CommonProgramFiles%\ShopperPro\spbiu.exe' /install
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' /s "%ALLUSERSPROFILE%\Application Data\ShopperPro\ShopperPro.dll"
- '<SYSTEM32>\sc.exe' start SPBIUpd
- '<SYSTEM32>\wscript.exe' //B "%ALLUSERSPROFILE%\Application Data\ShopperPro\spbihe.js" spbiu.exe /invoke /f:check_services /l:0
Изменения в файловой системе:
Создает следующие файлы:
- %CommonProgramFiles%\ShopperPro\spbiu.exe
- %CommonProgramFiles%\ShopperPro\spbii32.exe
- %TEMP%\nss6.tmp\nsExec.dll
- %CommonProgramFiles%\ShopperPro\spbiw.sys
- %CommonProgramFiles%\ShopperPro\spbici32.dll
- %TEMP%\nss6.tmp\MoreInfo.dll
- %TEMP%\nss6.tmp\jsdrv.exe
- %CommonProgramFiles%\ShopperPro\spbia.exe
- %TEMP%\nss6.tmp\System.dll
- %ALLUSERSPROFILE%\Application Data\ShopperPro\ShopperPro64.dll
- %ALLUSERSPROFILE%\Application Data\ShopperPro\ShopperPro.dll
- %ALLUSERSPROFILE%\Application Data\ShopperPro\config.json
- %ALLUSERSPROFILE%\Application Data\ShopperPro\database1_0_0.json
- %PROGRAM_FILES%\ShopperPro\config.json
- %TEMP%\nss6.tmp\ns8.tmp
- %TEMP%\nss6.tmp\ns9.tmp
- %ALLUSERSPROFILE%\Application Data\ShopperPro\spbihe.js
- %PROGRAM_FILES%\ShopperPro\FireFox\content\shopperpro_128.png
- %TEMP%\nss6.tmp\AccDownload.dll
- %TEMP%\nsd5.tmp
- %PROGRAM_FILES%\ShopperPro\ShopperPro64.dll
- %PROGRAM_FILES%\ShopperPro\ShopperPro.dll
- %TEMP%\nst3.tmp\setup.exe
- %TEMP%\nst3.tmp\NK.lky
- %TEMP%\nst2.tmp
- %TEMP%\nst3.tmp\D1958.dll
- %TEMP%\nst3.tmp\setup1.exe
- %PROGRAM_FILES%\ShopperPro\FireFox\install.rdf
- %PROGRAM_FILES%\ShopperPro\FireFox\chrome.manifest
- %PROGRAM_FILES%\ShopperPro\FireFox\content\overlay.xul
- %PROGRAM_FILES%\ShopperPro\FireFox\content\overlay.js
- %PROGRAM_FILES%\ShopperPro\SPRemove.exe
- %PROGRAM_FILES%\ShopperPro\Updater.exe
- %PROGRAM_FILES%\ShopperPro\ShopperPro.exe
- %PROGRAM_FILES%\ShopperPro\database1_0_0.json
- %PROGRAM_FILES%\ShopperPro\manifest.json
Удаляет следующие файлы:
- %TEMP%\nss6.tmp\ns8.tmp
Сетевая активность:
Подключается к:
- 're#.##opper-pro.com':80
TCP:
Запросы HTTP GET:
- re#.##opper-pro.com/app/ping.ashx?e=########################################################################################################################################################################################################################################################################################################################
- re#.##opper-pro.com/app/ping.ashx?e=############################################################################################################################################################################################################################################################################################################
- re#.##opper-pro.com/app/ping.ashx?e=################################################################################################################################################################################################################################################################################################################################
UDP:
- DNS ASK re#.##opper-pro.com
