Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'UserInit' = '<SYSTEM32>\userinit.exe,%HOMEPATH%\My Documents\MSDCSC\msdcsc.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MicroUpdate' = '%HOMEPATH%\My Documents\MSDCSC\msdcsc.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\SPOON\CACHE\0xA11D4407DDD8C5E4\STUBEXE\0xF37B56B4C80E0174\iexplore.exe
- %TEMP%\SPOON\CACHE\0xA11D4407DDD8C5E4\STUBEXE\0x3ED80D7686148A80\explorer.exe
- %TEMP%\SPOON\CACHE\0xA11D4407DDD8C5E4\STUBEXE\0xDF4A827D0D32B0C0\msdcsc.exe
- %TEMP%\SPOON\CACHE\0xA11D4407DDD8C5E4\STUBEXE\0xDF4A827D0D32B0C0\deathsish.exe
- %TEMP%\SPOON\CACHE\0xA11D4407DDD8C5E4\STUBEXE\0x05917096C5FBDCEA\rundll32.exe <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %TEMP%\1294833844448.SCR.JPG
Устанавливает процедуры перхвата сообщений
о нажатии клавиш клавиатуры:
- Библиотека-обработчик для процесса 'msdcsc.exe': %HOMEPATH%\My Documents\MSDCSC\msdcsc.exe
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\My Documents\MSDCSC\msdcsc.exe
- %TEMP%\1294833844448.SCR.JPG
- <LS_APPDATA>\Spoon\Sandbox\DeathEagle\1.0.0.0\XSandbox.bin.__tmp__
Сетевая активность:
Подключается к:
- 'es####k.no-ip.org':1995
UDP:
- DNS ASK es####k.no-ip.org
- '<IP-адрес в локальной сети>':1036
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'ShImgVw:CPreviewWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
