Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\is-937T6.tmp\<Имя вируса>.tmp' /SL5="$20136,2498090,56832,<Полный путь к вирусу>"
Запускает на исполнение:
- '<SYSTEM32>\conhost.exe' /f /im TrackWinstall.exe
- '<SYSTEM32>\tskill.exe' TrackWinstall
- '<SYSTEM32>\conhost.exe' /f /im whatchanged
- '<SYSTEM32>\taskkill.exe' /pid=0x430 /log
- '<SYSTEM32>\taskkill.exe' /pid=0x924 /log
- '<SYSTEM32>\conhost.exe' /f /im TrackWinstall-x64
- '<SYSTEM32>\tskill.exe' TrackWinstall-x64
- '<SYSTEM32>\taskkill.exe' /f /im SysTracer
- '<SYSTEM32>\tskill.exe' SysTracer
- '<SYSTEM32>\tskill.exe' /f /im InstallSpy.exe
- '<SYSTEM32>\conhost.exe' /f /im SysTracer.exe
- '<SYSTEM32>\tskill.exe' whatchanged
- '<SYSTEM32>\taskkill.exe' 0x9d4 taskkill.exe
- '<SYSTEM32>\tskill.exe' /pid=0x9d4 /log
- '<SYSTEM32>\conhost.exe' Procmon
- '<SYSTEM32>\tskill.exe' /pid=0xa1c /log
- '<SYSTEM32>\taskkill.exe' /f /im RegFromApp
- '<SYSTEM32>\taskkill.exe' RegFromApp
- '<SYSTEM32>\tskill.exe' 0xa1c taskkill.exe
- '<SYSTEM32>\conhost.exe' /f /im autoruns
- '<SYSTEM32>\tskill.exe' autoruns
- '<SYSTEM32>\taskkill.exe' /f /im RegFromApp.exe
- '<SYSTEM32>\tskill.exe' /pid=0xb08 /log
- '<SYSTEM32>\conhost.exe' /f /im Procmon
- '<SYSTEM32>\tskill.exe' /pid=0x594 /log
- '<SYSTEM32>\conhost.exe' /f /im Procmon.exe
- '<SYSTEM32>\conhost.exe' /f /im Procmon64.exe
- '<SYSTEM32>\tskill.exe' 0x960 taskkill.exe
- '<SYSTEM32>\tskill.exe' Procmon64
- '<SYSTEM32>\taskkill.exe' /f /im InstallSpy
- '<SYSTEM32>\tskill.exe' Regshot-x64-ANSI
- '<SYSTEM32>\taskkill.exe' /f /im Regshot-x64-Unicode.exe
- '<SYSTEM32>\taskkill.exe' /f /im Regshot-x64-Unicode
- '<SYSTEM32>\conhost.exe' /f /im Regshot-x64-ANSI
- '<SYSTEM32>\taskkill.exe' /f /im InstallRite
- '<SYSTEM32>\conhost.exe' InstallRite
- '<SYSTEM32>\conhost.exe' /f /im Regshot-x64-ANSI.exe
- '<SYSTEM32>\taskkill.exe' /f /im Regshot-x86-Unicode.exe
- '<SYSTEM32>\taskkill.exe' /f /im Regshot-x86-Unicode
- '<SYSTEM32>\tskill.exe' Regshot-x86-Unicode
- '<SYSTEM32>\tskill.exe' Regshot-x86-ANSI
- '<SYSTEM32>\tskill.exe' Regshot-x64-Unicode
- '<SYSTEM32>\tskill.exe' /pid=0x7cc /log
- '<SYSTEM32>\taskkill.exe' /f /im Regshot-x86-ANSI
- '<SYSTEM32>\tskill.exe' /pid=0x3f4 /log
- '<SYSTEM32>\tskill.exe' SpyMeTools
- '<SYSTEM32>\taskkill.exe' /f /im InstallWatch.exe
- '<SYSTEM32>\conhost.exe' /f /im InstallWatch
- '<SYSTEM32>\taskkill.exe' /f /im SpyMeTools
- '<SYSTEM32>\taskkill.exe' 0x8e0 tskill.exe
- '<SYSTEM32>\tskill.exe' InstallSpy
- '<SYSTEM32>\tskill.exe' /pid=0x988 /log
- '<SYSTEM32>\tskill.exe' Uninstaller
- '<SYSTEM32>\taskkill.exe' /pid=0xcbc /log
- '<SYSTEM32>\taskkill.exe' /f /im InstallRite.exe
- '<SYSTEM32>\conhost.exe' /f /im Uninstaller
- '<SYSTEM32>\tskill.exe' InstallWatch
- '<SYSTEM32>\taskkill.exe' 0xae4 taskkill.exe
- '<SYSTEM32>\taskkill.exe' /f /im Uninstaller.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\is-GSTNC.tmp\HardwareIDExtractorC.DLL
- %TEMP%\is-GSTNC.tmp\ProcessList
- <Служебный элемент>
- %TEMP%\is-GSTNC.tmp\mbinfo.dll
- %TEMP%\is-937T6.tmp\<Имя вируса>.tmp
- %TEMP%\is-GSTNC.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-GSTNC.tmp\itdownload.dll
Сетевая активность:
UDP:
- DNS ASK dn#.##ftncsi.com
- DNS ASK sv.####loadgroup.info
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
