Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'AdobeFlashPlayer' = 'wscript "%APPDATA%\Adobe\Flash Player\PureCache\IDMan.vbs" "%APPDATA%\Adobe\Flash Player\PureCache\IDMan.bat"'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\upc.exe' -pkd85jdiKJH483isG4739dj
- '%APPDATA%\Adobe\Flash Player\PureCache\IDMan.exe' -o stratum+tcp://ns1.eaglecloud.su:9327 -u LZA8F5DgmTCTbdUR1AXpnvuVVFEXbKxcNH -p x
- '%TEMP%\RFS3EA0.tmp\rfwipeout.exe' ii
- '%APPDATA%\Adobe\Flash Player\FileCache\cpu.exe'
- '%APPDATA%\RoboForm-Enterprise-Setup.exe'
- '%TEMP%\7za.exe' x "%TEMP%\a1.7z" -aoa -o%HOMEPATH%\Local Settings\Temp -p~@S23js@@vBz99432@t9 "" ""
- '%TEMP%\setup-retail.exe'
Запускает на исполнение:
- '<SYSTEM32>\wscript.exe' "%APPDATA%\Adobe\Flash Player\PureCache\IDMan.vbs" "%APPDATA%\Adobe\Flash Player\PureCache\IDMan.bat"
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\Adobe\Flash Player\PureCache\IDMan.bat" "
- '<SYSTEM32>\reg.exe' add HKCU\software\microsoft\windows\currentversion\run /v AdobeFlashPlayer /d "wscript \"%APPDATA%\Adobe\Flash Player\PureCache\IDMan.vbs\" \"%APPDATA%\Adobe\Flash Player\PureCache\IDMan.bat\"" /f
- '<SYSTEM32>\wscript.exe' "%APPDATA%\Adobe\Flash Player\FileCache\check.vbs" "%APPDATA%\Adobe\Flash Player\FileCache\check.bat"
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\Adobe\Flash Player\FileCache\check.bat" "
- '<SYSTEM32>\wscript.exe' "%APPDATA%\upc.vbs
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RFS3EA0.tmp\br-Brasilian.rfi
- %TEMP%\RFS3EA0.tmp\license-br.txt
- %TEMP%\RFS3EA0.tmp\cn-Chinese.rfi
- %TEMP%\RFS3EA0.tmp\license-cn.txt
- %TEMP%\RFS3EA0.tmp\ar-Arabic.rfi
- %TEMP%\RFS3EA0.tmp\start-page\start-page.html
- %TEMP%\RFS3EA0.tmp\start-page\start-page.css
- %TEMP%\RFS3EA0.tmp\license-ar.txt
- %TEMP%\RFS3EA0.tmp\start-page\start-page.js
- %TEMP%\RFS3EA0.tmp\license-cz.txt
- %TEMP%\RFS3EA0.tmp\es-Spanish.rfi
- %TEMP%\RFS3EA0.tmp\license-es.txt
- %TEMP%\RFS3EA0.tmp\license-fi.txt
- %TEMP%\RFS3EA0.tmp\fa-Persian.rfi
- %TEMP%\RFS3EA0.tmp\dk-Danish.rfi
- %TEMP%\RFS3EA0.tmp\license-de.txt
- %TEMP%\RFS3EA0.tmp\cz-Czech.rfi
- %TEMP%\RFS3EA0.tmp\license-dk.txt
- %TEMP%\RFS3EA0.tmp\de-German.rfi
- %TEMP%\RFS3EA0.tmp\start-page\search.png
- %APPDATA%\Adobe\Flash Player\PureCache\IDMan.bat
- %TEMP%\RFS3EA0.tmp\start-page\close.png
- %APPDATA%\Adobe\Flash Player\PureCache\IDMan.vbs
- %APPDATA%\Adobe\Flash Player\PureCache\IDMan.exe
- %TEMP%\RFS3EA0.tmp\en-english.rfi
- %TEMP%\RFS3EA0.tmp\Opera\vert.ico
- %TEMP%\RFS3EA0.tmp\Opera\horiz.ico
- %TEMP%\RFS3EA0.tmp\license-en.txt
- %TEMP%\RFS3EA0.tmp\Opera\search-history.png
- %APPDATA%\Adobe\Flash Player\PureCache\libcurl.dll
- %TEMP%\RFS3EA0.tmp\start-page\jquery.min.js
- %TEMP%\RFS3EA0.tmp\start-page\jquery.cookie.js
- %TEMP%\RFS3EA0.tmp\start-page\rf_3.png
- %TEMP%\RFS3EA0.tmp\start-page\json2.min.js
- %TEMP%\RFS3EA0.tmp\start-page\jquery-ui.min.js
- %APPDATA%\Adobe\Flash Player\PureCache\pthreadGC2.dll
- %TEMP%\RFS3EA0.tmp\start-page\control_sprites.png
- %TEMP%\RFS3EA0.tmp\start-page\home.png
- %APPDATA%\Adobe\Flash Player\PureCache\zlib1.dll
- %TEMP%\RFS3EA0.tmp\license-sc.txt
- %TEMP%\RFS3EA0.tmp\sb-Serbian.rfi
- %TEMP%\RFS3EA0.tmp\license-se.txt
- %TEMP%\RFS3EA0.tmp\sc-Serbian.rfi
- %TEMP%\RFS3EA0.tmp\license-sb.txt
- %TEMP%\RFS3EA0.tmp\pl-Polish.rfi
- %TEMP%\RFS3EA0.tmp\license-pl.txt
- %TEMP%\RFS3EA0.tmp\ru-Russian.rfi
- %TEMP%\RFS3EA0.tmp\license-ru.txt
- %TEMP%\RFS3EA0.tmp\se-Swedish.rfi
- %TEMP%\RFS3EA0.tmp\zh-Chinese.rfi
- %TEMP%\RFS3EA0.tmp\license-zh.txt
- %PROGRAM_FILES%\Siber Systems\AI RoboForm\_x.xxx
- %TEMP%\RFS3EA0.tmp\affid.txt
- %TEMP%\RFS3EA0.tmp\ua-Ukrainian.rfi
- %TEMP%\RFS3EA0.tmp\license-tr.txt
- %TEMP%\RFS3EA0.tmp\sk-Slovak.rfi
- %TEMP%\RFS3EA0.tmp\license-ua.txt
- %TEMP%\RFS3EA0.tmp\tr-Turkish.rfi
- %TEMP%\RFS3EA0.tmp\no-Norwegian.rfi
- %TEMP%\RFS3EA0.tmp\hr-Croatian.rfi
- %TEMP%\RFS3EA0.tmp\license-hr.txt
- %TEMP%\RFS3EA0.tmp\id-Indonesian.rfi
- %TEMP%\RFS3EA0.tmp\hu-Hungarian.rfi
- %TEMP%\RFS3EA0.tmp\he-Hebrew.rfi
- %TEMP%\RFS3EA0.tmp\license-fr.txt
- %TEMP%\RFS3EA0.tmp\fi-Finnish.rfi
- %TEMP%\RFS3EA0.tmp\license-he.txt
- %TEMP%\RFS3EA0.tmp\fr-French.rfi
- %TEMP%\RFS3EA0.tmp\license-it.txt
- %TEMP%\RFS3EA0.tmp\lt-Lithuanian.rfi
- %TEMP%\RFS3EA0.tmp\license-lt.txt
- %TEMP%\RFS3EA0.tmp\nl-Dutch.rfi
- %TEMP%\RFS3EA0.tmp\license-nl.txt
- %TEMP%\RFS3EA0.tmp\kr-Korean.rfi
- %TEMP%\RFS3EA0.tmp\license-jp.txt
- %TEMP%\RFS3EA0.tmp\it-Italian.rfi
- %TEMP%\RFS3EA0.tmp\license-kr.txt
- %TEMP%\RFS3EA0.tmp\jp-Japanese.rfi
- %TEMP%\RFS3EA0.tmp\Firefox\bootstrap.js
- %TEMP%\RFS3EA0.tmp\Firefox\options.xul
- %TEMP%\RFS3EA0.tmp\Firefox\js.manifest
- %TEMP%\RFS3EA0.tmp\Firefox\roboform.jar
- %TEMP%\RFS3EA0.tmp\Firefox\icon.png
- %TEMP%\RFS3EA0.tmp\resize_vertical.png
- %TEMP%\RFS3EA0.tmp\resize_horizontal.png
- %TEMP%\RFS3EA0.tmp\Firefox\install.rdf
- %TEMP%\RFS3EA0.tmp\dbghelp.dll
- %TEMP%\RFS3EA0.tmp\Firefox\rf-firefox.dll
- %APPDATA%\upc.exe
- %TEMP%\RFS3EA0.tmp\Chrome\rf-chrome-nm-host.exe
- %TEMP%\RFS3EA0.tmp\Chrome\rf-chrome-nm-host.json
- %APPDATA%\upc.vbs
- %TEMP%\RFS3EA0.tmp\Chrome\proxy-chrome-nm.js
- %TEMP%\RFS3EA0.tmp\Chrome\rf-chrome.crx
- %TEMP%\RFS3EA0.tmp\Firefox\rf-firefox-22.dll
- %TEMP%\RFS3EA0.tmp\Chrome\background.js
- %TEMP%\RFS3EA0.tmp\Chrome\plugin\np-rf-plugin.dll
- %TEMP%\RFS3EA0.tmp\print-template.html
- %TEMP%\setup-retail.exe
- %TEMP%\_rf.log
- %TEMP%\RFS3EA0.tmp\install.bmp
- %TEMP%\RFS3EA0.tmp\rfwipeout.exe
- %TEMP%\nsj3.tmp\ExecDos.dll
- %TEMP%\7za.exe
- %TEMP%\nse2.tmp
- %APPDATA%\RoboForm-Enterprise-Setup.exe
- %TEMP%\a1.7z
- %TEMP%\RFS3EA0.tmp\roboform.dll
- %TEMP%\RFS3EA0.tmp\identities.exe
- %TEMP%\RFS3EA0.tmp\robotaskbaricon.exe
- %TEMP%\RFS3EA0.tmp\dndhandle.gif
- %TEMP%\RFS3EA0.tmp\passwordgenerator.exe
- %APPDATA%\Adobe\Flash Player\FileCache\nvidia.exe
- %APPDATA%\Adobe\Flash Player\FileCache\check.bat
- %APPDATA%\Adobe\Flash Player\FileCache\ati.exe
- %APPDATA%\Adobe\Flash Player\FileCache\cpu.exe
- %APPDATA%\Adobe\Flash Player\FileCache\check.vbs
- %TEMP%\RFS3EA0.tmp\Opera\includes\filler.js
- %TEMP%\RFS3EA0.tmp\Opera\includes\content.js
- %TEMP%\RFS3EA0.tmp\Opera\robo16.png
- %TEMP%\RFS3EA0.tmp\Opera\robo128.png
- %TEMP%\RFS3EA0.tmp\Opera\includes\common.js
- %TEMP%\RFS3EA0.tmp\Opera\background.html
- %TEMP%\RFS3EA0.tmp\Opera\manifest.json
- %TEMP%\RFS3EA0.tmp\Opera\proxy-np.js
- %TEMP%\RFS3EA0.tmp\Opera\background.js
- %TEMP%\RFS3EA0.tmp\Opera\robo32.png
- %TEMP%\RFS3EA0.tmp\Opera\popup.html
- %TEMP%\RFS3EA0.tmp\Opera\options.js
- %TEMP%\RFS3EA0.tmp\Opera\search.ico
- %TEMP%\RFS3EA0.tmp\Opera\popup.js
- %TEMP%\RFS3EA0.tmp\Opera\options.html
- %TEMP%\RFS3EA0.tmp\Opera\rfdis19.png
- %TEMP%\RFS3EA0.tmp\Opera\robo48.png
- %TEMP%\RFS3EA0.tmp\Opera\loading.gif
- %TEMP%\RFS3EA0.tmp\Opera\arrow.png
- %TEMP%\RFS3EA0.tmp\Opera\rf-opera.oex
- %TEMP%\RFS3EA0.tmp\Chrome\robo32.png
- %TEMP%\RFS3EA0.tmp\Chrome\robo16.png
- %TEMP%\RFS3EA0.tmp\Chrome\rfdis19.png
- %TEMP%\RFS3EA0.tmp\Chrome\robo48.png
- %TEMP%\RFS3EA0.tmp\Chrome\robo128.png
- %TEMP%\RFS3EA0.tmp\Chrome\content.js
- %TEMP%\RFS3EA0.tmp\Chrome\common.js
- %TEMP%\RFS3EA0.tmp\Chrome\manifest.json
- %TEMP%\RFS3EA0.tmp\Chrome\filler.js
- %TEMP%\RFS3EA0.tmp\Chrome\arrow.png
- %TEMP%\RFS3EA0.tmp\Chrome\horiz.ico
- %TEMP%\RFS3EA0.tmp\Chrome\search.ico
- %TEMP%\RFS3EA0.tmp\Chrome\search-history.png
- %TEMP%\RFS3EA0.tmp\Chrome\vert.ico
- %TEMP%\RFS3EA0.tmp\Chrome\popup.js
- %TEMP%\RFS3EA0.tmp\Chrome\options.html
- %TEMP%\RFS3EA0.tmp\Chrome\loading.gif
- %TEMP%\RFS3EA0.tmp\Chrome\popup.html
- %TEMP%\RFS3EA0.tmp\Chrome\options.js
Удаляет следующие файлы:
- %PROGRAM_FILES%\Siber Systems\AI RoboForm\_x.xxx
- %TEMP%\nsj3.tmp\ExecDos.dll
Сетевая активность:
Подключается к:
- 'ns#.##glecloud.su':9327
UDP:
- DNS ASK ns#.##glecloud.su
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
