Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Windows Update' = '<LS_APPDATA>\Microsoft\svchost.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\mfehidk] 'ImagePath' = 'system32\drivers\mfehidk.sys'
- [<HKLM>\SYSTEM\ControlSet001\Services\mfeapfk] 'ImagePath' = 'system32\drivers\mfeapfk.sys'
- [<HKLM>\SYSTEM\ControlSet001\Services\mfevtp] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\mfehidk] 'Start' = '00000000'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\McInstallTemp\SelfProtect\Win32\mfehidin.exe' -i MSTRINTSLL -x vscoreap.xml
- '<SYSTEM32>\mfevtps.exe'
- '%TEMP%\McInstallTemp\SelfProtect\Win32\aploader.exe' -p PRESCAN1500 VSO1500 -l {308C1AD7-765B-4A17-B25B-D415F07357F3}
- '%TEMP%\McInstallTemp\Install.exe'
- '%TEMP%\server.exe'
- '<LS_APPDATA>\Microsoft\svchost.exe'
- '%TEMP%\714-McAfeeSetup.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'pediy06' WindowName: ''
- ClassName: 'GBDYLLO' WindowName: ''
- ClassName: 'OLLYDBG' WindowName: ''
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\Cab1B.tmp
- %TEMP%\Cab1D.tmp
- %TEMP%\Cab1F.tmp
- %TEMP%\Cab19.tmp
- %TEMP%\Cab13.tmp
- %TEMP%\Cab15.tmp
- %TEMP%\Cab17.tmp
- %TEMP%\Cab21.tmp
- %TEMP%\Cab2B.tmp
- %TEMP%\Cab2D.tmp
- %TEMP%\Cab2F.tmp
- %TEMP%\Cab29.tmp
- %TEMP%\Cab23.tmp
- %TEMP%\Cab25.tmp
- %TEMP%\Cab27.tmp
- %TEMP%\McInstallTemp\SelfProtect\Win64\mfeapfk.sys
- %TEMP%\McInstallTemp\SelfProtect\Win64\mfehida.dll
- %TEMP%\McInstallTemp\SelfProtect\Win64\mfehidin.exe
- %TEMP%\McInstallTemp\SelfProtect\Win64\mfeapfk.inf
- %TEMP%\McInstallTemp\SelfProtect\Win64\aploader.exe
- %TEMP%\McInstallTemp\SelfProtect\Win64\mfeapfa.dll
- %TEMP%\McInstallTemp\SelfProtect\Win64\mfeapfk.cat
- %TEMP%\McInstallTemp\SelfProtect\Win64\mfehidk.cat
- %TEMP%\McInstallTemp\SelfProtect\Win64\vscoreap.xml
- %TEMP%\CabF.tmp
- %TEMP%\Cab11.tmp
- %TEMP%\McInstallTemp\SelfProtect\Win64\vscan.bof
- %TEMP%\McInstallTemp\SelfProtect\Win64\mfehidk.inf
- %TEMP%\McInstallTemp\SelfProtect\Win64\mfehidk.sys
- %TEMP%\McInstallTemp\SelfProtect\Win64\mfevtps.exe
- <DRIVERS>\SET45.tmp
- <SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\1.CAT
- <SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\oem4.CAT
- %WINDIR%\inf\oem3.PNF
- %ALLUSERSPROFILE%\Application Data\McAfee\MSC\mcini.ini
- <SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\oem3.CAT
- %WINDIR%\inf\oem3.inf
- %WINDIR%\inf\oem4.inf
- %TEMP%\Cab4B.tmp
- %TEMP%\Cab4D.tmp
- %TEMP%\Cab4F.tmp
- %TEMP%\Cab49.tmp
- %WINDIR%\inf\oem4.PNF
- <DRIVERS>\SET48.tmp
- <SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\2.CAT
- %TEMP%\Cab39.tmp
- %TEMP%\McInstrumentationTemp\McIIHlp.dll
- %TEMP%\McInstrumentationTemp\McItInfo.exe
- %TEMP%\Cab37.tmp
- %TEMP%\Cab31.tmp
- %TEMP%\Cab33.tmp
- %TEMP%\Cab35.tmp
- %TEMP%\McInstrumentationTemp\McUtil.dll
- %ALLUSERSPROFILE%\Application Data\McAfee\MCLOGS\MasterInstaller\Install\Install000.log
- %ALLUSERSPROFILE%\Application Data\McAfee\MCLOGS\MISP\McItInfo\McItInfo000.log
- <SYSTEM32>\mfevtps.exe
- %TEMP%\Cab41.tmp
- %TEMP%\Cab3B.tmp
- %TEMP%\Cab3D.tmp
- %TEMP%\Cab3F.tmp
- %TEMP%\McInstallTemp\SelfProtect\Win64\ap64.inf
- %TEMP%\McInstallTemp\CodeRes.dll
- %TEMP%\McInstallTemp\Compat.dll
- %TEMP%\McInstallTemp\Compat.ino
- %TEMP%\Cab5.tmp
- %TEMP%\McInstallTemp\1046\SysCheckL.dll
- %TEMP%\McInstallTemp\MMI.cab
- %TEMP%\Cab3.tmp
- %TEMP%\McInstallTemp\Dwnload.dll
- %TEMP%\McInstallTemp\McIIHlp.dll
- %TEMP%\McInstallTemp\McItInfo.exe
- %TEMP%\McInstallTemp\McUtil.dll
- %TEMP%\McInstallTemp\McBrwsr2.dll
- %TEMP%\McInstallTemp\Install.exe
- %TEMP%\McInstallTemp\InstProg.dll
- %TEMP%\McInstallTemp\kld.plg
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
- %TEMP%\McInstallTemp\MMIRes.cab
- %TEMP%\server.exe
- <LS_APPDATA>\Microsoft\svchost.exe
- %TEMP%\714-McAfeeSetup.exe
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
- %TEMP%\McInstallTemp\1046\L10NRes.dll
- %TEMP%\McInstallTemp\1046\PDUPluginRes.dll
- %TEMP%\McInstallTemp\1046\PreScanPluginRes.dll
- %TEMP%\McInstallTemp\1046\DwnloadL.dll
- %TEMP%\Cab1.tmp
- %TEMP%\McInstallTemp\Defaults.ini
- %TEMP%\McInstallTemp\1046\CompatL.dll
- %TEMP%\McInstallTemp\SelfProtect\Win32\mfehidin.exe
- %TEMP%\McInstallTemp\SelfProtect\Win32\mfehidk.cat
- %TEMP%\McInstallTemp\SelfProtect\Win32\mfehidk.inf
- %TEMP%\McInstallTemp\SelfProtect\Win32\mfehida.dll
- %TEMP%\McInstallTemp\SelfProtect\Win32\mfeapfk.cat
- %TEMP%\McInstallTemp\SelfProtect\Win32\mfeapfk.inf
- %TEMP%\McInstallTemp\SelfProtect\Win32\mfeapfk.sys
- %TEMP%\McInstallTemp\SelfProtect\Win32\mfehidk.sys
- %TEMP%\McInstallTemp\SelfProtect\Win64\AP64WINLOGO.cab
- %TEMP%\CabB.tmp
- %TEMP%\CabD.tmp
- %ALLUSERSPROFILE%\Application Data\McAfee\MCLOGS\Common\714-McAfeeSetup\714-McAfeeSetup000.log
- %TEMP%\McInstallTemp\SelfProtect\Win32\mfevtps.exe
- %TEMP%\McInstallTemp\SelfProtect\Win32\vscan.bof
- %TEMP%\McInstallTemp\SelfProtect\Win32\vscoreap.xml
- %TEMP%\McInstallTemp\Riskscan.exe
- %TEMP%\McInstallTemp\SysCheck.dll
- %TEMP%\McInstallTemp\SelfProtect\Win32\vso_prescan.xml
- %TEMP%\McInstallTemp\PreScanPlugin.dll
- %TEMP%\McInstallTemp\MispLF.dll
- %TEMP%\McInstallTemp\mts.plg
- %TEMP%\McInstallTemp\PDUPlugin.dll
- %TEMP%\McInstallTemp\SelfProtect\Win64\vso_prescan.xml
- %TEMP%\McInstallTemp\SelfProtect\Win32\ap.inf
- %TEMP%\McInstallTemp\SelfProtect\Win32\aploader.exe
- %TEMP%\McInstallTemp\SelfProtect\Win32\mfeapfa.dll
- %TEMP%\Cab9.tmp
- %TEMP%\McInstallTemp\DMconf.ini
- %TEMP%\McInstallTemp\SelfProtect\Win32\APWINLOGO.cab
- %TEMP%\Cab7.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\oem4.CAT
- <SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\2.CAT
- <SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\1.CAT
- <LS_APPDATA>\Microsoft\svchost.exe
- <SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\oem3.CAT
Удаляет следующие файлы:
- %TEMP%\Cab33.tmp
- %TEMP%\Cab31.tmp
- %TEMP%\Cab37.tmp
- %TEMP%\Cab35.tmp
- %TEMP%\Cab2F.tmp
- %TEMP%\Cab29.tmp
- %TEMP%\Cab27.tmp
- %TEMP%\Cab2D.tmp
- %TEMP%\Cab2B.tmp
- %TEMP%\Cab4B.tmp
- %TEMP%\Cab49.tmp
- %TEMP%\Cab4F.tmp
- %TEMP%\Cab4D.tmp
- %TEMP%\Cab41.tmp
- %TEMP%\Cab3B.tmp
- %TEMP%\Cab39.tmp
- %TEMP%\Cab3F.tmp
- %TEMP%\Cab3D.tmp
- %TEMP%\Cab25.tmp
- %TEMP%\CabD.tmp
- %TEMP%\CabB.tmp
- %TEMP%\Cab11.tmp
- %TEMP%\CabF.tmp
- %TEMP%\Cab9.tmp
- %TEMP%\Cab3.tmp
- %TEMP%\Cab1.tmp
- %TEMP%\Cab7.tmp
- %TEMP%\Cab5.tmp
- %TEMP%\Cab1F.tmp
- %TEMP%\Cab1D.tmp
- %TEMP%\Cab23.tmp
- %TEMP%\Cab21.tmp
- %TEMP%\Cab1B.tmp
- %TEMP%\Cab15.tmp
- %TEMP%\Cab13.tmp
- %TEMP%\Cab19.tmp
- %TEMP%\Cab17.tmp
Перемещает следующие файлы:
- <DRIVERS>\SET48.tmp в <DRIVERS>\mfeapfk.sys
- <DRIVERS>\SET45.tmp в <DRIVERS>\mfehidk.sys
Сетевая активность:
Подключается к:
- 'www.download.windowsupdate.com':80
- 'wp#d':80
- '<IP-адрес в локальной сети>':2014
TCP:
Запросы HTTP GET:
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
- wp#d/wpad.dat
UDP:
- DNS ASK www.download.windowsupdate.com
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
