Adware.Conduit.40

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'UpdateChecker' = '<LS_APPDATA>\Popajar\UpdateChecker\UpdateCheckerApp.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\winlogon.exe' -carrier_id=CT3320691 -carrier_type=ctid -platform=all -startpage=true -defaultsearch=true -install_time_revert=false -local=en-US
'%TEMP%\updatechecker.exe'
'<LS_APPDATA>\Popajar\UpdateChecker\UpdateCheckerApp.exe'
'%TEMP%\SP\VuuPCsetup.exe' /cid=132 /hash=xasy7h
'%TEMP%\SP\GenericSS.exe' /CT=CT3320691 /DS=true /HP=true /REV=false /CH=EmbedInst-Somo /LANG=en-US /IUC=true
'%TEMP%\SPIdentifier.exe'
'%TEMP%\nsd48F4.exe'
'%TEMP%\nsd48F4.exe' (загружен из сети Интернет)

Изменения в файловой системе:

Создает следующие файлы:

<LS_APPDATA>\Popajar\UpdateChecker\uninstall.exe
<LS_APPDATA>\Popajar\UpdateChecker\UpdaterLibrary.dll
<LS_APPDATA>\Popajar\UpdateChecker\UpdateNotifier.exe
%TEMP%\SP\VuuPCsetup.exe
%TEMP%\nsz7F41.tmp
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\collect[3]
<LS_APPDATA>\Popajar\UpdateChecker\UpdateCheckerApp.exe
%TEMP%\nsz7580.tmp
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\collect[2]
%TEMP%\inet.txt
%TEMP%\updatechecker.exe
<LS_APPDATA>\Popajar\UpdateChecker\System.Net.Json.dll
%TEMP%\nse7ADB.tmp\nsProcess.dll
%TEMP%\nse7ADB.tmp\System.dll
%TEMP%\nsu902F.tmp\System.dll
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\SOXZEUJX\ping[1].php
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\BOWDBRP7\ping[1].php
%TEMP%\nsu902F.tmp\NSISdl.dll
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\SOXZEUJX\collect[2]
%TEMP%\nsuAB06.tmp
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\collect[3]
%TEMP%\nsoA875.tmp
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\ping[1].php
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\BOWDBRP7\srv_14srvhost_com[1]
%TEMP%\nsu902F.tmp\inetc.dll
%TEMP%\nsu902F.tmp\IpConfig.dll
%TEMP%\jdaaAVBC_132
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\srv_14srvhost_com[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\SOXZEUJX\download[1].php
%TEMP%\nsu902F.tmp\nsJSON.dll
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\SOXZEUJX\GenericSS[1].zip
%TEMP%\nsy3729.tmp
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\collect[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\BOWDBRP7\collect[1]
%TEMP%\nsn3BCC.tmp
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\SOXZEUJX\collect[1]
%TEMP%\nsi393C.tmp
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\BOWDBRP7\GenericSS[1].zip
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\GenericSS[1].zip
%TEMP%\nsdF6CD.tmp\inetc.dll
%TEMP%\nsdF6CD.tmp\System.dll
%TEMP%\SP\GenericSS.zip
%TEMP%\nst32C5.tmp
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\collect[1]
%TEMP%\nsdF6CD.tmp\nsisunz.dll
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\collect[2]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\SOXZEUJX\SPIdentifierImpl[1].exe
%TEMP%\nst48B5.tmp\inetc.dll
%TEMP%\nsd48A4.tmp
%TEMP%\nsd48F4.exe
%TEMP%\nsi53BC.tmp\inetc.dll
%TEMP%\nsi53BC.tmp\System.dll
%TEMP%\nsn539C.tmp
%TEMP%\SPIdentifier.exe
%TEMP%\nsn41E0.tmp\System.dll
%TEMP%\SP\GenericSS.exe
%TEMP%\nsy3CF6.tmp
%TEMP%\nsn41E0.tmp\inetc.dll
%TEMP%\winlogon.exe
%TEMP%\nsi425E.tmp
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\BOWDBRP7\collect[2]

Удаляет следующие файлы:

%TEMP%\nsu902F.tmp\inetc.dll
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\SOXZEUJX\ping[1].php
%TEMP%\nsu902F.tmp\NSISdl.dll
%TEMP%\nsu902F.tmp\IpConfig.dll
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\BOWDBRP7\ping[1].php
%TEMP%\nsz7F41.tmp
%TEMP%\SPIdentifier.exe
%TEMP%\nsn41E0.tmp\System.dll
%TEMP%\nsn41E0.tmp\inetc.dll
%TEMP%\nsdF6CD.tmp\inetc.dll
%TEMP%\nsuAB06.tmp
%TEMP%\nsdF6CD.tmp\System.dll
%TEMP%\nsdF6CD.tmp\nsisunz.dll
%TEMP%\SP\GenericSS.exe
%TEMP%\nsu902F.tmp\System.dll
%TEMP%\nsu902F.tmp\nsJSON.dll
%TEMP%\SP\VuuPCsetup.exe
%TEMP%\nsoA875.tmp
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\SOXZEUJX\GenericSS[1].zip
%TEMP%\nsi393C.tmp
%TEMP%\nsy3CF6.tmp
%TEMP%\nsn3BCC.tmp
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\BOWDBRP7\GenericSS[1].zip
%TEMP%\SP\GenericSS.zip
%TEMP%\nst32C5.tmp
%TEMP%\nsy3729.tmp
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\GenericSS[1].zip
%TEMP%\nse7ADB.tmp\nsProcess.dll
%TEMP%\nsz7580.tmp
%TEMP%\winlogon.exe
%TEMP%\nse7ADB.tmp\System.dll
%TEMP%\nsi53BC.tmp\System.dll
%TEMP%\nsd48F4.exe
%TEMP%\nsi425E.tmp
%TEMP%\nsi53BC.tmp\inetc.dll
%TEMP%\nst48B5.tmp\inetc.dll

Сетевая активность:

Подключается к:

'sp#######ler.conduit-data.com':80
'sp#######e.conduit-services.com':443
'sr#.##srvhost.com':80
'cd#.####akychocolate.com':80
'www.go#####analytics.com':80
'sp#######e.conduit-services.com':80

TCP:

Запросы HTTP GET:

sr#.##srvhost.com/?ty##########################################################################################################
sr#.##srvhost.com/download.php?ci#############################################################################################
sr#.##srvhost.com/?ty###################################################
sr#.##srvhost.com/ping.php?in#####################################################################################################################################################
www.go#####analytics.com/collect?v=#############################################################################################################################
www.go#####analytics.com/collect?v=################################################################################################################################################
sr#.##srvhost.com/ping.php?in##############################################################################################################################################################################################################################
www.go#####analytics.com/collect?v=####################################################################################################################################################################
www.go#####analytics.com/collect?v=##############################################################################################################################################################################################
cd#.####akychocolate.com/installers/GenericSS.zip
www.go#####analytics.com/collect?v=#####################################################################################################################
www.go#####analytics.com/collect?v=############################################################################################################################
www.go#####analytics.com/collect?v=#########################################################################################################################
sp#######e.conduit-services.com/spidentifier/SPIdentifierImpl.exe

Запросы HTTP POST:

sp#######ler.conduit-data.com/

UDP:

DNS ASK sp#######ler.conduit-data.com
DNS ASK dn#.##ftncsi.com
DNS ASK sr#.##srvhost.com
DNS ASK cd#.####akychocolate.com
DNS ASK www.go#####analytics.com
DNS ASK sp#######e.conduit-services.com

Другое:

Ищет следующие окна:

ClassName: 'Indicator' WindowName: '(null)'
ClassName: 'CicLoaderWndClass' WindowName: '(null)'

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней