Technical Information
Malicious functions:
To bypass firewall, removes or modifies the following registry keys:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\nsh2.tmp\PPS.exe' = '%TEMP%\nsh2.tmp\PPS.exe:*:Enabled:PPStream Installer'
Creates and executes the following:
- '%TEMP%\nsh2.tmp\PPS.exe'
Modifies file system :
Creates the following files:
- %TEMP%\nsr5.tmp\PPStreamSetupRes\DirEditBackImg.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\Folder.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\TitleOptions_Chs.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\ClearBtn.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\GraphicList_Middle.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\GraphicList_Left_Chs.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\TitleGraphicList_Chs.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\NextFocus_Chs.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\ConfirmFocus_Chs.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\Warning.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\Cancel_Chs.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\Back_Chs.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\Checkbox.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\Button.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\TitleFinish_Chs.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\InstallPictures3_Chs.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\InstallPictures2_Chs.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\FinishBitmap01.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\LicenseBackImg.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\Readme.txt
- %TEMP%\nsr5.tmp\PPStreamSetupRes\CompleteFocus_Chs.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\New.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\RadioButton.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\GraphicList_Right_Chs.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\TitleInstall_Chs.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\InstallPictures1_Chs.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\ProgressBarLight.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\progressbar.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\No_Chs.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\YesFocus_Chs.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\MessageBack_Big.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\Question.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\Step1_Chs.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\WelcomeLogo.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\WizardMain.png
- %TEMP%\nsr5.tmp\System.dll
- %TEMP%\nsw4.tmp
- %TEMP%\nsh2.tmp\PPS.exe
- %TEMP%\nsr5.tmp\UAC.dll
- %TEMP%\nsr5.tmp\nsDialogs.dll
- %TEMP%\nsr5.tmp\nsUI.dll
- %TEMP%\nsr5.tmp\GdiPlus.dll
- %TEMP%\nsr5.tmp\inetc.dll
- %TEMP%\nsr5.tmp\gtapi_signed.dll
- %TEMP%\nsr5.tmp\nsisFirewall.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\getini2[1].php
- %TEMP%\nsr5.tmp\PPStreamSetupRes\Wrong.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\MessageBack_Small.png
- %TEMP%\nsr5.tmp\nst7.tmp
- %TEMP%\nsr5.tmp\PPStreamSetupRes\Step4_Chs.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\Step3_Chs.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\Step2_Chs.png
- %TEMP%\nsr5.tmp\PPStreamSetupRes\CloseBtn.png
- %TEMP%\nsr5.tmp\nsProcess.dll
- <DRIVERS>\etc\nsp6.tmp
- %TEMP%\nsr5.tmp\PPStreamSetupRes\MinBtn.png
Deletes the following files:
- <DRIVERS>\etc\nsp6.tmp
Network activity:
Connects to:
- 'sp###r.pps.tv':80
TCP:
HTTP GET requests:
- sp###r.pps.tv/ppstream/getini2.php?v=#################################################################
UDP:
- DNS ASK sp###r.pps.tv
Miscellaneous:
Searches for the following windows:
- ClassName: '#32770' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
