Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'winupdater' = 'C:\Windupdt\winupdate.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'UserInit' = '<SYSTEM32>\userinit.exe,C:\Windupdt\winupdate.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- C:\Windupdt\winupdate.exe
Запускает на исполнение:
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\qfyggjtm.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:"%TEMP%\RES4.tmp"" ""%TEMP%\vbc3.tmp""
- %WINDIR%\explorer.exe
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\bsacbpgb.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:"%TEMP%\RES2.tmp"" ""%TEMP%\vbc1.tmp""
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\F90F18257CBB4D84216AC1E1F3BB2C76
- %TEMP%\vbc3.tmp
- %TEMP%\RES4.tmp
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\F90F18257CBB4D84216AC1E1F3BB2C76
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\696F3DE637E6DE85B458996D49D759AD
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\696F3DE637E6DE85B458996D49D759AD
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\A1377F7115F1F126A15360369B165211
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\A1377F7115F1F126A15360369B165211
- %TEMP%\FixitCenter_run-Temp\autorun.inf
- %TEMP%\FixitCenter_run-Temp\fr\Autorun.resources.dll
- %TEMP%\FixitCenter_run-Temp\es\Autorun.resources.dll
- %TEMP%\FixitCenter_run-Temp\zh-CHS\Autorun.resources.dll
- %TEMP%\FixitCenter_run-Temp\ja\Autorun.resources.dll
- %TEMP%\FixitCenter_run-Temp\lts.dll
- %TEMP%\FixitCenter_run-Temp\Autorun.exe
- %TEMP%\qfyggjtm.dll
- %TEMP%\FixitCenter_run-Temp\de\Autorun.resources.dll
- %TEMP%\bsacbpgb.dll
- %TEMP%\RES2.tmp
- %TEMP%\FIXITCENTER_RUN.EXE
- C:\Windupdt\winupdate.exe
- %TEMP%\bsacbpgb.cmdline
- %TEMP%\bsacbpgb.0.vb
- %TEMP%\vbc1.tmp
- %TEMP%\bsacbpgb.out
- %TEMP%\FixitCenter_RunRes-Temp\FixitCenter_RunRes.dll
- %TEMP%\qfyggjtm.0.vb
- %TEMP%\FixitCenter_RunRes-Temp\zh-CN\FixitCenter_runRes.dll.mui
- %TEMP%\qfyggjtm.out
- %TEMP%\qfyggjtm.cmdline
- %TEMP%\FixitCenter_RunRes-Temp\es-ES\FixitCenter_runRes.dll.mui
- %TEMP%\FixitCenter_RunRes-Temp\de-DE\FixitCenter_runRes.dll.mui
- %TEMP%\FixitCenter_RunRes-Temp\ja-JP\FixitCenter_runRes.dll.mui
- %TEMP%\FixitCenter_RunRes-Temp\fr-FR\FixitCenter_runRes.dll.mui
Удаляет следующие файлы:
- %TEMP%\FixitCenter_run-Temp\autorun.inf
- %TEMP%\FixitCenter_run-Temp\de\Autorun.resources.dll
- %TEMP%\FixitCenter_run-Temp\Autorun.exe
- %TEMP%\qfyggjtm.dll
- %TEMP%\qfyggjtm.out
- %TEMP%\FixitCenter_run-Temp\lts.dll
- %TEMP%\FixitCenter_run-Temp\zh-CHS\Autorun.resources.dll
- %TEMP%\FixitCenter_run-Temp\ja\Autorun.resources.dll
- %TEMP%\FixitCenter_run-Temp\es\Autorun.resources.dll
- %TEMP%\FixitCenter_run-Temp\fr\Autorun.resources.dll
- %TEMP%\bsacbpgb.0.vb
- %TEMP%\bsacbpgb.dll
- %TEMP%\bsacbpgb.out
- %TEMP%\RES2.tmp
- %TEMP%\vbc1.tmp
- %TEMP%\qfyggjtm.0.vb
- %TEMP%\qfyggjtm.cmdline
- %TEMP%\vbc3.tmp
- %TEMP%\bsacbpgb.cmdline
- %TEMP%\RES4.tmp
Сетевая активность:
Подключается к:
- 'th#####ls.no-ip.info':30688
- '20#.#6.232.182':80
TCP:
Запросы HTTP GET:
- 20#.#6.232.182/pki/crl/products/MicrosoftTimeStampPCA.crl
- 20#.#6.232.182/pki/crl/products/CodeSigPCA.crl
- 20#.#6.232.182/pki/crl/products/microsoftrootcert.crl
UDP:
- DNS ASK TH#####LS.NO-IP.INFO
- DNS ASK crl.microsoft.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
