Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<LS_APPDATA>\TNT2\2.0.0.1760\TNT2User.exe' /RegServerAdmin
- '<LS_APPDATA>\TNT2\2.0.0.1760\TNT2User.exe' /RegServer
- '<LS_APPDATA>\TNT2\2.0.0.1760\TNT2User.exe' /INSTALL PARTNER=e
Запускает на исполнение:
- '<SYSTEM32>\xcopy.exe' /Y "<LS_APPDATA>\TNT2\2.0.0.1760\passport.dll" "%PROGRAM_FILES%\TNT2\Profiles\e"
- '<SYSTEM32>\xcopy.exe' /Y "<LS_APPDATA>\TNT2\2.0.0.1760\passport64.dll" "%PROGRAM_FILES%\TNT2\Profiles\e"
- '<SYSTEM32>\taskkill.exe' /F /IM "cltmng.exe"
- '<SYSTEM32>\sc.exe' delete CltMngSvc
- '<SYSTEM32>\taskkill.exe' /F /IM "CltMngSvc.exe"
- '<SYSTEM32>\rundll32.exe' "<LS_APPDATA>\TNT2\2.0.0.1760\regsvr.1.dll",IEInstall {1159D0C9-8024-4B9A-9EC1-C3EE13BE2B84}
- '<SYSTEM32>\xcopy.exe' 0x11cc tnt2user.exe
- '<SYSTEM32>\regsvr32.exe' /s "%PROGRAM_FILES%\TNT2\2.0.0.1760\ppshim.dll"
- '<SYSTEM32>\xcopy.exe' /Y "<LS_APPDATA>\TNT2\2.0.0.1760\GameConsole.exe" "<LS_APPDATA>\TNT2\Common\"
- '<SYSTEM32>\regsvr32.exe' /s "%PROGRAM_FILES%\TNT2\TNT2UserPS.dll"
- '<SYSTEM32>\xcopy.exe' /Y "<LS_APPDATA>\TNT2\2.0.0.1760\ppshim.dll" "%PROGRAM_FILES%\TNT2\2.0.0.1760\"
- '<SYSTEM32>\xcopy.exe' /Y "<LS_APPDATA>\TNT2\2.0.0.1760\ppTNT2.dll" "%PROGRAM_FILES%\TNT2\2.0.0.1760\"
- '<SYSTEM32>\xcopy.exe' /Y "<LS_APPDATA>\TNT2\2.0.0.1760\ietoolbar*.dll" "%PROGRAM_FILES%\TNT2\2.0.0.1760\"
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule action=allow profile=any protocol=any enable=yes direction=in name=TNT2 program="<LS_APPDATA>\TNT2\2.0.0.1760\TNT2User.exe"
- '<SYSTEM32>\xcopy.exe' /Y "<LS_APPDATA>\TNT2\2.0.0.1760\TNT2UserPS*.dll" "%PROGRAM_FILES%\TNT2\"
- '<SYSTEM32>\sc.exe' delete "Updater By Sweetpacks"
- '<SYSTEM32>\taskkill.exe' /F /IM "ExtensionUpdaterService.exe"
- '<SYSTEM32>\taskkill.exe' /F /IM "DatamngrUI.exe"
- '<SYSTEM32>\sc.exe' delete DatamngrCoordinator
- '<SYSTEM32>\taskkill.exe' /F /IM "DatamngrCoordinator.exe"
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\23BUYPX5\configuration[1].php
- %PROGRAM_FILES%\TNT2\Profiles\e\passport.dll
- %PROGRAM_FILES%\TNT2\TNT2UserPS64.dll
- %PROGRAM_FILES%\TNT2\2.0.0.1760\ppTNT2.dll
- %PROGRAM_FILES%\TNT2\Profiles\e\passport64.dll
- <LS_APPDATA>\TNT2\Profiles\e\ose.xml
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\3U23MFC9\bullet_www[1].gif
- <LS_APPDATA>\TNT2\Common\GameConsole.exe
- <LS_APPDATA>\TNT2\Common\pinnedSearch.htm
- %PROGRAM_FILES%\TNT2\2.0.0.1760\IEToolbar64.dll
- <LS_APPDATA>\TNT2\Profiles\e\inst.ini
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\UEWNTWLX\latest_revision[1].php
- <LS_APPDATA>\TNT2\2.0.0.1760\LastSession.log
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\latest_install[1].php
- <LS_APPDATA>\TNT2\Profiles\e\runt.ini
- %PROGRAM_FILES%\TNT2\TNT2UserPS.dll
- %PROGRAM_FILES%\TNT2\2.0.0.1760\ppshim.dll
- %APPDATA%\Roaming\Microsoft\Crypto\RSA\S-1-5-21-2832440558-3064306045-1455513625-1000\8193ab892c6ae64e89be24a4e941c49b_97c09787-6498-4b10-8f65-9471d842c55e
- %PROGRAM_FILES%\TNT2\2.0.0.1760\IEToolbar.dll
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\WNTWEGC4\errorPageStrings[1]
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\ZAS7QLZR\httpErrorPagesScripts[1]
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\WNTWEGC4\navcancl[1]
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\97OIH8A0\ErrorPageTemplate[1]
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\XNOVSOA4\info_48[1]
- %TEMP%\Low\JavaDeployReg.log
- <Служебный элемент>
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\97OIH8A0\bullet[1]
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\WNTWEGC4\background_gradient[1]
- %TEMP%\~DF2265C665B713EBF3.TMP
- <LS_APPDATA>\TNT2\Profiles\e\yahe.xml
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\favicon[3].ico
- <LS_APPDATA>Low\Microsoft\Internet Explorer\Services\search_{40A20E0A-B0A1-4873-8282-3726DCF31244}.ico
- %WINDIR%\AppPatch\Custom\{e8395380-6dfa-4902-a432-b4ea1deff769}.sdb
- <LS_APPDATA>Low\Microsoft\Internet Explorer\Services\search_{DB9ED311-2702-4AF5-859C-98EC6ED0336C}.ico
- %TEMP%\~DFB3B236B61CF09D7E.TMP
- <LS_APPDATA>\Microsoft\Internet Explorer\Recovery\Active\{A89BC707-4C72-11E4-8D7E-9A1F8A293DF3}.dat
- <LS_APPDATA>\TNT2\Profiles\e\partner.dat
- <LS_APPDATA>\Microsoft\Internet Explorer\Recovery\Active\RecoveryStore.{A89BC705-4C72-11E4-8D7E-9A1F8A293DF3}.dat
- <LS_APPDATA>\TNT2\2.0.0.1760\GameApps.ini
- <LS_APPDATA>\TNT2\2.0.0.1760\passport.dll
- <LS_APPDATA>\TNT2\2.0.0.1760\passport64.dll
- <LS_APPDATA>\TNT2\2.0.0.1760\npTNT2Ghost.dll
- <LS_APPDATA>\TNT2\2.0.0.1760\PARTNER.TNT
- <LS_APPDATA>\TNT2\2.0.0.1760\pinnedSearch.htm
- <LS_APPDATA>\TNT2\2.0.0.1760\regsvr.1.dll
- <LS_APPDATA>\TNT2\2.0.0.1760\RemoteSkin.wms
- <LS_APPDATA>\TNT2\2.0.0.1760\pinnedSearch_FindWide.htm
- <LS_APPDATA>\TNT2\2.0.0.1760\progress.1.dll
- <LS_APPDATA>\TNT2\2.0.0.1760\npTNT2.dll
- <LS_APPDATA>\TNT2\2.0.0.1760\GLOBALUNINSTALL.TNT
- <LS_APPDATA>\TNT2\2.0.0.1760\hmac.1.dll
- <LS_APPDATA>\TNT2\2.0.0.1760\Autorun.inf
- <LS_APPDATA>\TNT2\2.0.0.1760\crx.tar
- <LS_APPDATA>\TNT2\2.0.0.1760\iestage2.1.dll
- <LS_APPDATA>\TNT2\2.0.0.1760\INSTALL.TNT
- <LS_APPDATA>\TNT2\2.0.0.1760\log.dll
- <LS_APPDATA>\TNT2\2.0.0.1760\IEToolbar.dll
- <LS_APPDATA>\TNT2\2.0.0.1760\IEToolbar64.dll
- <LS_APPDATA>\TNT2\2.0.0.1760\UnInjLib.dll
- <LS_APPDATA>\TNT2\2.0.0.1760\UnInjLib64.dll
- <LS_APPDATA>\TNT2\2.0.0.1760\zipunzip.1.dll
- <LS_APPDATA>\TNT2\2.0.0.1760\tnt2chrome.dll
- <LS_APPDATA>\TNT2\2.0.0.1760\ppshim.dll
- <LS_APPDATA>\TNT2\2.0.0.1760\GameEngine.dll
- <LS_APPDATA>\TNT2\2.0.0.1760\MinecraftShims64.dll
- <LS_APPDATA>\TNT2\2.0.0.1760\ppTNT2.dll
- <LS_APPDATA>\TNT2\2.0.0.1760\GameConsole.exe
- <LS_APPDATA>\TNT2\2.0.0.1760\xpi.tar
- <LS_APPDATA>\TNT2\2.0.0.1760\TNT2UserPS.dll
- <LS_APPDATA>\TNT2\2.0.0.1760\TNT2UserPS64.dll
- <LS_APPDATA>\TNT2\2.0.0.1760\sqlite.1.dll
- <LS_APPDATA>\TNT2\2.0.0.1760\TNT2User.exe
- <LS_APPDATA>\TNT2\2.0.0.1760\TntMagicDel.dll
- <LS_APPDATA>\TNT2\2.0.0.1760\untar.1.dll
- <LS_APPDATA>\TNT2\2.0.0.1760\UPDATE.TNT
- <LS_APPDATA>\TNT2\2.0.0.1760\UNINSTALL.TNT
- <LS_APPDATA>\TNT2\2.0.0.1760\UninstallDlg.1.dll
Удаляет следующие файлы:
- <LS_APPDATA>\Microsoft\Internet Explorer\Recovery\Active\{A89BC707-4C72-11E4-8D7E-9A1F8A293DF3}.dat
- <LS_APPDATA>\Microsoft\Internet Explorer\Recovery\Active\RecoveryStore.{A89BC705-4C72-11E4-8D7E-9A1F8A293DF3}.dat
- <LS_APPDATA>Low\Microsoft\Internet Explorer\Services\search_{40A20E0A-B0A1-4873-8282-3726DCF31244}.ico
- <LS_APPDATA>Low\Microsoft\Internet Explorer\Services\search_{DB9ED311-2702-4AF5-859C-98EC6ED0336C}.ico
Сетевая активность:
Подключается к:
- '67.##5.160.76':80
- 'se###h.us.com':80
- 'se####es.freshy.com':80
TCP:
Запросы HTTP GET:
- se####es.freshy.com/general/ping.php?ac############################################################################################################################################################################
- se####es.freshy.com/general/ping.php?ac##############################################################################################################################################################################################################################
- se####es.freshy.com/general/ping.php?ac######################################################################################
- 67.##5.160.76/favicon.ico
- se###h.us.com/serp/img/bullet_www.gif
- se####es.freshy.com/general/latest_install.php?to##########
- se####es.freshy.com/general/ping.php?ac############################################
- se####es.freshy.com/general/latest_revision.php?to##########
- se####es.freshy.com/general/configuration.php?to##########
- se####es.freshy.com/general/ping.php?&o########################################
UDP:
- DNS ASK se####.yahoo.com
- DNS ASK go.###rosoft.com
- DNS ASK se####es.freshy.com
- DNS ASK se###h.us.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
