Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'bde24c496cc04fe3636746432569e053' = '"%TEMP%\avp.exe" ..'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'bde24c496cc04fe3636746432569e053' = '"%TEMP%\avp.exe" ..'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '31e37971192fb55657f077e7641d3757' = '"%TEMP%\temp.exe" ..'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '31e37971192fb55657f077e7641d3757' = '"%TEMP%\temp.exe" ..'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\bde24c496cc04fe3636746432569e053.exe
- %HOMEPATH%\Start Menu\Programs\Startup\31e37971192fb55657f077e7641d3757.exe
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\temp.exe' = '%TEMP%\temp.exe:*:Enabled:temp.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\avp.exe' = '%TEMP%\avp.exe:*:Enabled:avp.exe'
Создает и запускает на исполнение:
- '%TEMP%\temp.exe'
- '%TEMP%\avp.exe'
- 'C:\6129ecf9f80aa8f48f41\Setup.exe' /x86 /x64 /ia64 /web
- '%PROGRAM_FILES%\c\dotNetFx40_Full_setup1.exe'
- '%PROGRAM_FILES%\c\sEEka.exe'
- '%PROGRAM_FILES%\c\sms.exe'
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%TEMP%\avp.exe" "avp.exe" ENABLE
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%TEMP%\temp.exe" "temp.exe" ENABLE
Изменения в файловой системе:
Создает следующие файлы:
- C:\6129ecf9f80aa8f48f41\1055\eula.rtf
- C:\6129ecf9f80aa8f48f41\1053\eula.rtf
- C:\6129ecf9f80aa8f48f41\2052\eula.rtf
- C:\6129ecf9f80aa8f48f41\1045\eula.rtf
- C:\6129ecf9f80aa8f48f41\1043\eula.rtf
- C:\6129ecf9f80aa8f48f41\1046\eula.rtf
- %APPDATA%\Microsoft\CLR Security Config\v2.0.50727.42\security.config.cch.new
- C:\6129ecf9f80aa8f48f41\1049\eula.rtf
- C:\6129ecf9f80aa8f48f41\SetupUtility.exe
- C:\6129ecf9f80aa8f48f41\SetupEngine.dll
- C:\6129ecf9f80aa8f48f41\1025\SetupResources.dll
- C:\6129ecf9f80aa8f48f41\Setup.exe
- C:\6129ecf9f80aa8f48f41\3082\eula.rtf
- C:\6129ecf9f80aa8f48f41\2070\eula.rtf
- C:\6129ecf9f80aa8f48f41\3076\eula.rtf
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch.new
- C:\6129ecf9f80aa8f48f41\1036\eula.rtf
- C:\6129ecf9f80aa8f48f41\1035\eula.rtf
- C:\6129ecf9f80aa8f48f41\1029\eula.rtf
- C:\6129ecf9f80aa8f48f41\1028\eula.rtf
- C:\6129ecf9f80aa8f48f41\1030\eula.rtf
- C:\6129ecf9f80aa8f48f41\1031\eula.rtf
- C:\6129ecf9f80aa8f48f41\1032\eula.rtf
- C:\6129ecf9f80aa8f48f41\1041\eula.rtf
- C:\6129ecf9f80aa8f48f41\1042\eula.rtf
- C:\6129ecf9f80aa8f48f41\1044\eula.rtf
- C:\6129ecf9f80aa8f48f41\1040\eula.rtf
- C:\6129ecf9f80aa8f48f41\1038\eula.rtf
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch.new
- C:\6129ecf9f80aa8f48f41\1037\eula.rtf
- C:\6129ecf9f80aa8f48f41\1049\SetupResources.dll
- C:\6129ecf9f80aa8f48f41\1038\SetupResources.dll
- C:\6129ecf9f80aa8f48f41\2070\SetupResources.dll
- C:\6129ecf9f80aa8f48f41\1046\SetupResources.dll
- C:\6129ecf9f80aa8f48f41\1055\SetupResources.dll
- C:\6129ecf9f80aa8f48f41\1040\SetupResources.dll
- C:\6129ecf9f80aa8f48f41\1045\SetupResources.dll
- C:\6129ecf9f80aa8f48f41\3082\SetupResources.dll
- %TEMP%\Setup_20130627_182618687.html
- %TEMP%\Microsoft .NET Framework 4 Setup_20130627_182623625.html
- %TEMP%\HFI5.tmp.html
- %TEMP%\HFI2.tmp.html
- C:\6129ecf9f80aa8f48f41\1043\SetupResources.dll
- C:\6129ecf9f80aa8f48f41\SetupUi.dll
- C:\6129ecf9f80aa8f48f41\sqmapi.dll
- C:\6129ecf9f80aa8f48f41\1031\SetupResources.dll
- C:\6129ecf9f80aa8f48f41\1036\SetupResources.dll
- C:\6129ecf9f80aa8f48f41\1032\SetupResources.dll
- C:\6129ecf9f80aa8f48f41\1035\SetupResources.dll
- C:\6129ecf9f80aa8f48f41\1033\SetupResources.dll
- C:\6129ecf9f80aa8f48f41\1029\SetupResources.dll
- C:\6129ecf9f80aa8f48f41\1030\SetupResources.dll
- C:\6129ecf9f80aa8f48f41\1028\SetupResources.dll
- C:\6129ecf9f80aa8f48f41\1037\SetupResources.dll
- C:\6129ecf9f80aa8f48f41\1044\SetupResources.dll
- C:\6129ecf9f80aa8f48f41\1053\SetupResources.dll
- C:\6129ecf9f80aa8f48f41\1041\SetupResources.dll
- C:\6129ecf9f80aa8f48f41\2052\SetupResources.dll
- C:\6129ecf9f80aa8f48f41\3076\SetupResources.dll
- C:\6129ecf9f80aa8f48f41\1042\SetupResources.dll
- C:\6129ecf9f80aa8f48f41\1025\eula.rtf
- C:\6129ecf9f80aa8f48f41\Graphics\stop.ico
- C:\6129ecf9f80aa8f48f41\Graphics\SysReqMet.ico
- C:\6129ecf9f80aa8f48f41\Graphics\SysReqNotMet.ico
- C:\6129ecf9f80aa8f48f41\Graphics\Setup.ico
- C:\6129ecf9f80aa8f48f41\Graphics\Rotate7.ico
- C:\6129ecf9f80aa8f48f41\Graphics\Rotate8.ico
- C:\6129ecf9f80aa8f48f41\Graphics\Save.ico
- C:\6129ecf9f80aa8f48f41\Graphics\warn.ico
- C:\6129ecf9f80aa8f48f41\1037\LocalizedData.xml
- C:\6129ecf9f80aa8f48f41\1025\LocalizedData.xml
- %TEMP%\avp.exe
- C:\6129ecf9f80aa8f48f41\1041\LocalizedData.xml
- C:\6129ecf9f80aa8f48f41\1033\LocalizedData.xml
- C:\6129ecf9f80aa8f48f41\1042\LocalizedData.xml
- %TEMP%\temp.exe
- C:\6129ecf9f80aa8f48f41\header.bmp
- C:\6129ecf9f80aa8f48f41\SplashScreen.bmp
- C:\6129ecf9f80aa8f48f41\watermark.bmp
- %TEMP%\dd_dotNetFx40_Full_setup1_decompression_log.txt
- %PROGRAM_FILES%\c\sms.exe
- %PROGRAM_FILES%\c\dotNetFx40_Full_setup1.exe
- %PROGRAM_FILES%\c\sEEka.exe
- C:\6129ecf9f80aa8f48f41\DisplayIcon.ico
- C:\6129ecf9f80aa8f48f41\Graphics\Rotate4.ico
- C:\6129ecf9f80aa8f48f41\Graphics\Rotate5.ico
- C:\6129ecf9f80aa8f48f41\Graphics\Rotate6.ico
- C:\6129ecf9f80aa8f48f41\Graphics\Rotate3.ico
- C:\6129ecf9f80aa8f48f41\Graphics\Print.ico
- C:\6129ecf9f80aa8f48f41\Graphics\Rotate1.ico
- C:\6129ecf9f80aa8f48f41\Graphics\Rotate2.ico
- C:\6129ecf9f80aa8f48f41\1045\LocalizedData.xml
- C:\6129ecf9f80aa8f48f41\Client\Parameterinfo.xml
- C:\6129ecf9f80aa8f48f41\Extended\Parameterinfo.xml
- C:\6129ecf9f80aa8f48f41\1049\LocalizedData.xml
- C:\6129ecf9f80aa8f48f41\3082\LocalizedData.xml
- C:\6129ecf9f80aa8f48f41\2070\LocalizedData.xml
- C:\6129ecf9f80aa8f48f41\1046\LocalizedData.xml
- C:\6129ecf9f80aa8f48f41\ParameterInfo.xml
- C:\6129ecf9f80aa8f48f41\SetupUi.xsd
- C:\6129ecf9f80aa8f48f41\DHtmlHeader.html
- C:\6129ecf9f80aa8f48f41\1033\eula.rtf
- C:\6129ecf9f80aa8f48f41\Extended\UiInfo.xml
- C:\6129ecf9f80aa8f48f41\Strings.xml
- C:\6129ecf9f80aa8f48f41\UiInfo.xml
- C:\6129ecf9f80aa8f48f41\Client\UiInfo.xml
- C:\6129ecf9f80aa8f48f41\1040\LocalizedData.xml
- C:\6129ecf9f80aa8f48f41\1029\LocalizedData.xml
- C:\6129ecf9f80aa8f48f41\1031\LocalizedData.xml
- C:\6129ecf9f80aa8f48f41\1043\LocalizedData.xml
- C:\6129ecf9f80aa8f48f41\1035\LocalizedData.xml
- C:\6129ecf9f80aa8f48f41\1030\LocalizedData.xml
- C:\6129ecf9f80aa8f48f41\1044\LocalizedData.xml
- C:\6129ecf9f80aa8f48f41\1036\LocalizedData.xml
- C:\6129ecf9f80aa8f48f41\3076\LocalizedData.xml
- C:\6129ecf9f80aa8f48f41\1055\LocalizedData.xml
- C:\6129ecf9f80aa8f48f41\1053\LocalizedData.xml
- C:\6129ecf9f80aa8f48f41\1028\LocalizedData.xml
- C:\6129ecf9f80aa8f48f41\1032\LocalizedData.xml
- C:\6129ecf9f80aa8f48f41\1038\LocalizedData.xml
- C:\6129ecf9f80aa8f48f41\2052\LocalizedData.xml
Удаляет следующие файлы:
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch.2824.173453
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch.2824.173453
Перемещает следующие файлы:
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch в %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch.2824.173453
- %TEMP%\HFI2.tmp.html в %TEMP%\Setup_20130627_182618687.html
- %TEMP%\Setup_20130627_182618687.html в %TEMP%\Microsoft .NET Framework 4 Setup_20130627_182623625.html
- %APPDATA%\Microsoft\CLR Security Config\v2.0.50727.42\security.config.cch.new в %APPDATA%\Microsoft\CLR Security Config\v2.0.50727.42\security.config.cch
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch.new в %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch.new в %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch в %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch.2824.173453
Сетевая активность:
Подключается к:
- 'sm####.no-ip.org':999
- 'mo#####izo.no-ip.org':999
UDP:
- DNS ASK sm####.no-ip.org
- DNS ASK mo#####izo.no-ip.org
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
