Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\TCChecker.exe'
- '%TEMP%\IPFilter.exe'
- '%TEMP%\WSTransInstall.exe'
- '%TEMP%\~nsu.tmp\wsget.exe' "%PROGRAM_FILES%\WhiteSmoke Translator"
- '%TEMP%\IPFilter.exe' (загружен из сети Интернет)
- '%TEMP%\TCChecker.exe' (загружен из сети Интернет)
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\TCChecker[1].exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\TCChecker[1].exe
- %TEMP%\IPFilter.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\IPFilter[1].exe
- %TEMP%\TCChecker.exe
- %TEMP%\WSTransInstall.exe
- %TEMP%\aut1.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\TCChecker[1].exe
- %TEMP%\~nsu.tmp\wsget.exe
Удаляет следующие файлы:
- %TEMP%\aut1.tmp
Сетевая активность:
Подключается к:
- 'ne####ringsite.com':80
- 'www.ne###arings.com':80
- 'www.th####sharing.com':80
- 'ge#.##itesmoke.com':80
TCP:
Запросы HTTP GET:
- www.ne###arings.com/downloads/TCChecker.exe
- ne####ringsite.com/downloads/TCChecker.exe
- www.th####sharing.com/downloads/IPFilter.exe
- www.th####sharing.com/downloads/TCChecker.exe
- ge#.##itesmoke.com/TranslatorTools/allot/ALOT_Toolbar_11708_Installer.exe
- ne####ringsite.com/wsstats.php?ac###########################
UDP:
- DNS ASK www.ne###arings.com
- DNS ASK www.ne####ringsite.com
- DNS ASK ne####ringsite.com
- DNS ASK www.th####sharing.com
- DNS ASK ge#.##itesmoke.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
