Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\update.exe
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\Yamicsoft Windows8Manage.exe'
- '%HOMEPATH%\Start Menu\Programs\Startup\update.exe'
Запускает на исполнение:
- '<SYSTEM32>\msiexec.exe' -Embedding E9D463B671C227D9DC0546F3DCD1894E C
- '<SYSTEM32>\msiexec.exe' /V
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\AI_EXTUI_BIN_2896\printico
- %TEMP%\AI_EXTUI_BIN_2896\folderlogoicon
- %TEMP%\AI_EXTUI_BIN_2896\background
- %TEMP%\AI_EXTUI_BIN_2896\insticon
- %TEMP%\AI_EXTUI_BIN_2896\waitlogoicon
- %TEMP%\AI_EXTUI_BIN_2896\optionslogoicon
- %TEMP%\AI_EXTUI_BIN_2896\New
- %TEMP%\AI_EXTUI_BIN_2896\exclamic
- %TEMP%\AI_EXTUI_BIN_2896\removico
- %TEMP%\AI_EXTUI_BIN_2896\exitbackground
- %TEMP%\AI_EXTUI_BIN_2896\readmelogoicon
- %TEMP%\AI_EXTUI_BIN_2896\lzmaextractor.dll
- %TEMP%\AI_EXTUI_BIN_2896\aicustact.dll
- %TEMP%\AI_EXTUI_BIN_2896\cmdlinkarrow
- %TEMP%\MSI30977.LOG
- %TEMP%\AI_EXTUI_BIN_2896\info
- %TEMP%\AI_EXTUI_BIN_2896\custicon
- %TEMP%\AI_EXTUI_BIN_2896\repairic
- %TEMP%\AI_EXTUI_BIN_2896\completi
- %TEMP%\AI_EXTUI_BIN_2896\applogoicon
- %PROGRAM_FILES%\Yamicsoft\Windows 8 Manager\Uninstall.exe
- %TEMP%\$inst\0001.tmp
- %PROGRAM_FILES%\Yamicsoft\Windows 8 Manager\Uninstall.ini
- %APPDATA%\Yamicsoft\Windows 8 Manager 2.1.3\install\Windows8ManagerSetup.x64.msi
- %APPDATA%\Yamicsoft\Windows 8 Manager 2.1.3\install\Windows8ManagerSetup.msi
- %TEMP%\$inst\4.tmp
- %TEMP%\$inst\2.tmp
- %TEMP%\$inst\5.tmp
- %TEMP%\Yamicsoft Windows8Manage.exe
- %TEMP%\$inst\temp_0.tmp
- %APPDATA%\Yamicsoft\Windows 8 Manager 2.1.3\install\disk1.cab
- %TEMP%\MSI1.tmp
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\8B7F174CBA91D50A75A211BB82B8C491
- %TEMP%\AI_EXTUI_BIN_2896\Up
- %TEMP%\AI_EXTUI_BIN_2896\whitebackground
- %TEMP%\AI_EXTUI_BIN_2896\installlogoicon
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\25192C4012D0DED321316F7256595215
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\25192C4012D0DED321316F7256595215
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\B211EE32EFC211EC156AA9A7C6D639A8
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\8B7F174CBA91D50A75A211BB82B8C491
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\B211EE32EFC211EC156AA9A7C6D639A8
Удаляет следующие файлы:
- %TEMP%\$inst\4.tmp
- %TEMP%\$inst\5.tmp
- %TEMP%\MSI1.tmp
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\$inst\0001.tmp
- %TEMP%\$inst\2.tmp
Сетевая активность:
Подключается к:
- 'cr###.wosign.com':80
- 'cr#.###st-provider.com':80
- 'wp#d':80
TCP:
Запросы HTTP GET:
- cr###.wosign.com/ca1.crl
- cr###.wosign.com/ca1-code-3.crl
- wp#d/wpad.dat
- cr#.###st-provider.com/UTN-USERFirst-Object.crl
UDP:
- DNS ASK cr###.wosign.com
- DNS ASK cr#.###st-provider.com
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
