Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\HDvid Codec V6.0-updater.job
- %WINDIR%\Tasks\HDvid Codec V6.0-chromeinstaller.job
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\HDvid Codec V6.0\HDvid Codec V6.0-updater.exe' /runupdater /agentregpath='HDvid Codec V6.0' /appid=45971 /srcid='000691' /subid='0' /zdata='0' /bic=CADE33D6C0CF488AB8B6CE0388FB9971IE /verifier=3c05c2bbd3de622dd506a5a40302feec /installerversion=1_31_153 /installationtime=1379104400 /statsdomain=http://st###.#rvstatsdata.com /errorsdomain=http://er####.srvstatsdata.com /monetizationdomain=http://st###.#yncstatsdata.com /geoserviceurl=http://ip###api.com/ /updatejsondomain=http://up####.srvstatsdata.com /updaterversion=2 /externallog=''
- '%PROGRAM_FILES%\HDvid Codec V6.0\HDvid Codec V6.0-chromeinstaller.exe' /installcrx /agentregpath='HDvid Codec V6.0' /extensionfilepath='%PROGRAM_FILES%\HDvid Codec V6.0\45971.crx' /appid=45971 /srcid='000691' /subid='0' /zdata='0' /bic=CADE33D6C0CF488AB8B6CE0388FB9971IE /verifier=3c05c2bbd3de622dd506a5a40302feec /installerversion=1_31_153 /installerfullversion=1.31.153.0 /installationtime=1379104400 /statsdomain=http://st###.#rvstatsdata.com /errorsdomain=http://er####.srvstatsdata.com /waitforbrowser=300 /extensionid=plnkhmnoajbfccclonaeepohggeolcih /extensionversion=1.25.33 /extensionpublickey=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCqlmGKaQls3fz+aatgUX9PX3IxZi6fIbJ0fDx7MKJh9dXpaxw/x7LB7OC1i4ly+znFcyc1ZnC0l0XzkvkdAHmsd/5c4h/mjrpKRlRatncV86auxhRMKi0lAP/4kfxhDMgtOv+MWBinKNFzS9Uq0kUGaa66PeLoWyvBjb12PN8U5wIDAQAB /allusers /allprofiles
- '%TEMP%\nsj3.tmp\Smxbp.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\HDvid Codec V6.0\Uninstall.exe
- %PROGRAM_FILES%\HDvid Codec V6.0\45971.crx
- %PROGRAM_FILES%\HDvid Codec V6.0\HDvid Codec V6.0-chromeinstaller.exe
- %TEMP%\nsm6.tmp\temp_file_after.tmp
- %TEMP%\nsm6.tmp\UserInfo.dll
- %PROGRAM_FILES%\HDvid Codec V6.0\utils.exe
- %TEMP%\nsm6.tmp\temp_file_before.tmp
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\NXCLBWCK\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\KW156JSL\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\M1N372HJ\ipgeoapi[1]
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\AVG9AR03\desktop.ini
- %PROGRAM_FILES%\HDvid Codec V6.0\HDvid Codec V6.0-updater.exe
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\M1N372HJ\desktop.ini
- %TEMP%\nsj3.tmp\Smxbp.exe
- %TEMP%\nsj3.tmp\StdUtils.dll
- %TEMP%\nsb5.tmp
- %TEMP%\nsj3.tmp\WrapperUtils.dll
- %TEMP%\nso2.tmp
- %TEMP%\nsj3.tmp\System.dll
- %TEMP%\nsj3.tmp\Mzvjbyfrrscb.tmp
- %TEMP%\nsm6.tmp\InstallerUtils.dll
- %TEMP%\nsm6.tmp\nsisos.dll
- %TEMP%\nsm6.tmp\md5dll.dll
- %TEMP%\HDvid Codec V6.0Installer_1379104400.log
- %TEMP%\nsm6.tmp\StdUtils.dll
- %TEMP%\nsm6.tmp\System.dll
- %TEMP%\nsm6.tmp\nsislog.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\NXCLBWCK\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\KW156JSL\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\M1N372HJ\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\AVG9AR03\desktop.ini
Удаляет следующие файлы:
- %TEMP%\nsj3.tmp\Mzvjbyfrrscb.tmp
- %TEMP%\nsm6.tmp\UserInfo.dll
- %TEMP%\nsm6.tmp\temp_file_before.tmp
- %TEMP%\nsj3.tmp\Smxbp.exe
- %TEMP%\nsj3.tmp\WrapperUtils.dll
- %TEMP%\nsj3.tmp\System.dll
- %TEMP%\nsj3.tmp\StdUtils.dll
- %TEMP%\nsm6.tmp\nsislog.dll
- %TEMP%\nsm6.tmp\md5dll.dll
- %TEMP%\nsm6.tmp\InstallerUtils.dll
- %TEMP%\nsm6.tmp\nsisos.dll
- %TEMP%\nsm6.tmp\temp_file_after.tmp
- %TEMP%\nsm6.tmp\System.dll
- %TEMP%\nsm6.tmp\StdUtils.dll
Сетевая активность:
Подключается к:
- 'ip###api.com':80
- 'st###.#yncstatsdata.com':80
- 'st###.#rvstatsdata.com':80
TCP:
Запросы HTTP GET:
- ip###api.com/
UDP:
- DNS ASK ip###api.com
- DNS ASK st###.#yncstatsdata.com
- DNS ASK st###.#rvstatsdata.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
