Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\SIODRV] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\InstDrvr.exe'
- '%CommonProgramFiles%\InstallShield\Driver\8\Intel 32\IDriver.exe' -Embedding
- '%TEMP%\pft3.tmp\setup.exe'
Запускает на исполнение:
- '<SYSTEM32>\runonce.exe' -r
- '<SYSTEM32>\msiexec.exe' -Embedding 960FA4B7D059C424A5D0C0C1C18CAD2E C
- '<SYSTEM32>\msiexec.exe' /V
Изменения в файловой системе:
Создает следующие файлы:
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_USRCLASS_S-1-5-20
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_NTUSER_S-1-5-21-2052111302-484763869-725345543-1003
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_USRCLASS_S-1-5-21-2052111302-484763869-725345543-1003
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_NTUSER_S-1-5-19
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_USRCLASS_S-1-5-19
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_NTUSER_S-1-5-20
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_MACHINE_SYSTEM
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_MACHINE_SAM
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\ComDb.Dat
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_.DEFAULT
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_MACHINE_SECURITY
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_MACHINE_SOFTWARE
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\osaio.sys
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SIODRV4.SYS
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\imoninst.dll
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\iSMBIOSDLL.dll
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\ServiceControl.dll
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\preaction.exe
- %TEMP%\MSIA.tmp
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\rp.log
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_NTUSER_S-1-5-18
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\instnt.exe
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SIODRV5.SYS
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\siodrv.VXD
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\domain.txt
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\SMBi313e.rra
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\SMBI319b.rra
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\SMBI3209.rra
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\iSMB3034.rra
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\iSMB3082.rra
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\iSMB30e0.rra
- %WINDIR%\inf\oem3.inf
- %WINDIR%\inf\oem3.PNF
- <DRIVERS>\SETD.tmp
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\OBJECTS.MAP
- <DRIVERS>\SIODRV.SYS
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\RestorePointSize
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\INDEX.BTR
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\INDEX.MAP
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SIOD2ead.rra
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\drivetable.txt
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP15\drivetable.txt
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\$WinMgmt.CFG
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\Inst2f59.rra
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\OBJECTS.DATA
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\iSMB2fc7.rra
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\MAPPING.VER
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\MAPPING1.MAP
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\MAPPING2.MAP
- %TEMP%\pft3.tmp\smbios\iSMBIOSDLL.dll
- %TEMP%\pft3.tmp\smbios\iSMBIOSVB.dll
- %TEMP%\pft3.tmp\smbios\SMBios.inf
- %TEMP%\pft3.tmp\smbios\InstDrvr.exe
- %TEMP%\pft3.tmp\smbios\iSMBIOS.sy_
- %TEMP%\pft3.tmp\smbios\iSMBIOS.VX_
- %TEMP%\pft3.tmp\smbus\license.txt
- %TEMP%\pft3.tmp\smbus\readme.txt
- %TEMP%\pft3.tmp\smbus\relnotes.htm
- %TEMP%\pft3.tmp\smbios\SMBIOS.SYS
- %TEMP%\pft3.tmp\smbios\SMBIOS.sy_
- %TEMP%\pft3.tmp\smbus\Instngin.dll
- %TEMP%\pft3.tmp\0x0409.ini
- %TEMP%\pft3.tmp\Data1.cab
- %TEMP%\pft3.tmp\instmsia.exe
- %TEMP%\ext2.tmp
- %TEMP%\plf1.tmp
- %TEMP%\pft3.tmp\pftw1.pkg
- %TEMP%\pft3.tmp\setup.exe
- %TEMP%\pft3.tmp\Setup.ini
- %TEMP%\pft3.tmp\setup.iss
- %TEMP%\pft3.tmp\instmsiw.exe
- %TEMP%\pft3.tmp\Intel(R) Desktop Utilities.msi
- %TEMP%\pft3.tmp\ISScript8.Msi
- %TEMP%\pft3.tmp\smbus\Setup.exe
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\ISRT.DLL
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\IsConfig.INI
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\_ISRES.DLL
- %CommonProgramFiles%\InstallShield\Driver\8\Intel 32\_ISRES1033.dll
- %CommonProgramFiles%\InstallShield\Driver\8\Intel 32\IDriver2.exe
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\setup.inx
- %TEMP%\MSI8.tmp
- %TEMP%\MSI9.tmp
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\license.txt
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\_ISUSER.DLL
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\String1033.txt
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\IGdi.dll
- %TEMP%\pft3.tmp\smbus\win2000\intelsmb.inf
- %WINDIR%\Installer\32481.msi
- %WINDIR%\Installer\MSI5.tmp
- %TEMP%\pft3.tmp\smbus\UpdateDriver.exe
- %TEMP%\pft3.tmp\smbus\win2000\ia32\intelsmb.sys
- %TEMP%\pft3.tmp\smbus\win2000\ia32e\intelsmb.sys
- %CommonProgramFiles%\InstallShield\Driver\8\Intel 32\IUser8.dll
- %CommonProgramFiles%\InstallShield\Driver\8\Intel 32\IScript8.dll
- %CommonProgramFiles%\InstallShield\Driver\8\Intel 32\ISRT.dll
- C:\Config.Msi\32484.rbs
- %CommonProgramFiles%\InstallShield\Driver\8\Intel 32\IDriver.exe
- %CommonProgramFiles%\InstallShield\Driver\8\Intel 32\objps8.dll
Удаляет следующие файлы:
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\iSMBIOS.sy_
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\iSMBIOS.VX_
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SIODRV.SYS
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\InstDrvr.exe
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\iSMBIOSDLL.dll
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\SMBIOS.SYS
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\SMBIOS.sy_
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\iSMBIOSVB.dll
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\SMBios.inf
- %WINDIR%\Installer\MSI5.tmp
- C:\Config.Msi\32484.rbs
- %TEMP%\ext2.tmp
- %TEMP%\pft3.tmp\pftw1.pkg
- %WINDIR%\Installer\32481.msi
- %TEMP%\MSIA.tmp
- <DRIVERS>\SIODRV.SYS
- %TEMP%\MSI8.tmp
- %TEMP%\MSI9.tmp
Перемещает следующие файлы:
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\SMBi313e.rra в %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\SMBios.inf
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\iSMB30e0.rra в %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\iSMBIOSVB.dll
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\SMBI319b.rra в %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\SMBIOS.SYS
- <DRIVERS>\SETD.tmp в <DRIVERS>\SMBios.sys
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\SMBI3209.rra в %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\SMBIOS.sy_
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\Inst2f59.rra в %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\InstDrvr.exe
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SIOD2ead.rra в %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SIODRV.SYS
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\iSMB2fc7.rra в %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\iSMBIOS.sy_
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\iSMB3082.rra в %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\iSMBIOSDLL.dll
- %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\iSMB3034.rra в %TEMP%\{DE1FD294-CF2A-4936-92F4-B1B778371627}\SMBIOS\iSMBIOS.VX_
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
