Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'dae31c02cb06222e776b9ccb9207edb1' = '"%APPDATA%\system.exe" ..'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dae31c02cb06222e776b9ccb9207edb1' = '"%APPDATA%\system.exe" ..'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\dae31c02cb06222e776b9ccb9207edb1.exe
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\system.exe'
- '%TEMP%\2.exe'
- '%TEMP%\1.exe'
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%APPDATA%\system.exe" "system.exe" ENABLE
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\7zS3.tmp\core\D3DCompiler_43.dll
- %TEMP%\7zS3.tmp\core\browser\components\browsercomps.dll
- %TEMP%\7zS3.tmp\core\breakpadinjector.dll
- %TEMP%\7zS3.tmp\core\freebl3.dll
- %TEMP%\7zS3.tmp\core\libGLESv2.dll
- %TEMP%\7zS3.tmp\core\libEGL.dll
- %TEMP%\7zS3.tmp\core\gkmedias.dll
- %TEMP%\7zS3.tmp\core\AccessibleMarshal.dll
- %TEMP%\7zS3.tmp\core\plugin-hang-ui.exe
- %TEMP%\7zS3.tmp\core\plugin-container.exe
- %TEMP%\7zS3.tmp\core\maintenanceservice_installer.exe
- %TEMP%\7zS3.tmp\setup.exe
- %TEMP%\7zS3.tmp\core\webapprt-stub.exe
- %TEMP%\7zS3.tmp\core\webapp-uninstaller.exe
- %TEMP%\7zS3.tmp\core\updater.exe
- %TEMP%\7zS3.tmp\core\freebl3.chk
- %TEMP%\7zS3.tmp\core\xul.dll
- %TEMP%\7zS3.tmp\core\softokn3.dll
- %TEMP%\7zS3.tmp\core\nssdbm3.chk
- %TEMP%\7zS3.tmp\core\omni.ja
- %TEMP%\7zS3.tmp\core\browser\omni.ja
- %TEMP%\7zS3.tmp\core\softokn3.chk
- %TEMP%\7zS3.tmp\core\nssdbm3.dll
- %TEMP%\7zS3.tmp\core\mozjs.dll
- %TEMP%\7zS3.tmp\core\mozglue.dll
- %TEMP%\7zS3.tmp\core\mozalloc.dll
- %TEMP%\7zS3.tmp\core\msvcp100.dll
- %TEMP%\7zS3.tmp\core\nssckbi.dll
- %TEMP%\7zS3.tmp\core\nss3.dll
- %TEMP%\7zS3.tmp\core\msvcr100.dll
- %TEMP%\7zS3.tmp\core\maintenanceservice.exe
- %TEMP%\7zS3.tmp\core\browser\chrome.manifest
- %TEMP%\7zS3.tmp\core\browser\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}\icon.png
- %TEMP%\7zS3.tmp\core\removed-files
- %TEMP%\7zS3.tmp\core\browser\components\components.manifest
- %TEMP%\7zS3.tmp\core\browser\blocklist.xml
- %TEMP%\7zS3.tmp\core\browser\searchplugins\bing.xml
- %TEMP%\7zS3.tmp\core\browser\searchplugins\amazondotcom.xml
- %TEMP%\7zS3.tmp\core\precomplete
- %TEMP%\aut2.tmp
- %TEMP%\1.exe
- %TEMP%\aut1.tmp
- %TEMP%\2.exe
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch.new
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch.new
- %APPDATA%\system.exe
- %TEMP%\7zS3.tmp\core\updater.ini
- %TEMP%\7zS3.tmp\core\update-settings.ini
- %TEMP%\7zS3.tmp\core\platform.ini
- %TEMP%\7zS3.tmp\core\webapprt\webapprt.ini
- %TEMP%\7zS3.tmp\core\uninstall\helper.exe
- %TEMP%\7zS3.tmp\core\firefox.exe
- %TEMP%\7zS3.tmp\core\crashreporter.exe
- %TEMP%\7zS3.tmp\core\crashreporter.ini
- %TEMP%\7zS3.tmp\core\browser\searchplugins\wikipedia-ar.xml
- %TEMP%\7zS3.tmp\core\browser\searchplugins\google.xml
- %TEMP%\7zS3.tmp\core\browser\searchplugins\eBay.xml
- %TEMP%\7zS3.tmp\core\browser\searchplugins\yahoo.xml
- %TEMP%\7zS3.tmp\core\browser\crashreporter-override.ini
- %TEMP%\7zS3.tmp\core\application.ini
- %TEMP%\7zS3.tmp\core\defaults\pref\channel-prefs.js
Удаляет следующие файлы:
- %TEMP%\aut2.tmp
- %TEMP%\aut1.tmp
Перемещает следующие файлы:
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch.new в %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch.new в %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch
Сетевая активность:
Подключается к:
- 'ba####o.no-ip.biz':1990
UDP:
- DNS ASK ba####o.no-ip.biz
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
