Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WinEx72' = '%WINDIR%\xwizard(2).exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WinEx7' = '%WINDIR%\xwizard(2).exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\GbPlugin-Mуdulo de Seguranзa.scr' /S
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\B69D763EB21649DA26F20618312DEE70
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\1F356F4D07FE8C483E769E4586569404
- %TEMP%\Cab1.tmp
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\B69D763EB21649DA26F20618312DEE70
- %TEMP%\Cab5.tmp
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\549b9b645cadfe6bb4bc69cf363c354c_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\1F356F4D07FE8C483E769E4586569404
- %TEMP%\Cab3.tmp
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\9a37938696da2a6a543a9989ea69a4d6_23ef5514-3059-436f-a4a7-4cefaab20eb1
- <SYSTEM32>\GbPlugin-Mуdulo de Seguranзa.scr
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\0af25a20-7941-41b6-9f2d-acaed07e4e6c
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
Удаляет следующие файлы:
- %TEMP%\Cab5.tmp
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\549b9b645cadfe6bb4bc69cf363c354c_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %TEMP%\Cab1.tmp
- %TEMP%\Cab3.tmp
Сетевая активность:
Подключается к:
- 'cr#.##ertrust.com':80
- 'cr#.##modoca.com':80
- 'wp#d':80
- 'www.download.windowsupdate.com':80
TCP:
Запросы HTTP GET:
- cr#.##ertrust.com/UTN-USERFirst-Object.crl
- cr#.##modoca.com/COMODOCodeSigningCA2.crl
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
- wp#d/wpad.dat
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
UDP:
- DNS ASK cr#.##ertrust.com
- DNS ASK cr#.##modoca.com
- DNS ASK wp#d
- DNS ASK www.download.windowsupdate.com
Другое:
Ищет следующие окна:
- ClassName: 'NDDEAgnt' WindowName: 'NetDDE Agent'
