Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\WINshell Event Notification.job
- %WINDIR%\Tasks\WINshell Event Logging.job
Вредоносные функции:
Создает и запускает на исполнение:
- '<LS_APPDATA>\Spoon\Sandbox\Universal Patch Collection Vol.1\1.0.0.0\local\stubexe\0xC2BBEC4096A47A5F\CRK-TRAKTOR-268.exe'
- '%TEMP%\setupb.exe'
- '%TEMP%\_ir_sf_temp_0\irsetup.exe' __IRAOFF:1815298 "__IRAFN:<Полный путь к вирусу>" "__IRCT:0" "__IRTSS:0" "__IRSID:S-1-5-21-2052111302-484763869-725345543-1003"
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
- '<SYSTEM32>\schtasks.exe' /Create /RU SYSTEM /SC HOURLY /MO 21 /TN "WINshell Event Notification" /TR "\"%TEMP%\SBCint2.exe\""
- '<SYSTEM32>\schtasks.exe' /Create /RU SYSTEM /SC HOURLY /MO 21 /TN "WINshell Event Logging" /TR "\"%TEMP%\Dscp1.exe\""
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\Temp\Reaktor5590SM\s7.mp3
- %WINDIR%\Temp\Reaktor5590SM\s8.mp3
- %WINDIR%\Temp\Reaktor5590SM\s9.mp3
- %WINDIR%\Temp\Reaktor5590SM\s4.mp3
- %WINDIR%\Temp\Reaktor5590SM\s5.mp3
- %WINDIR%\Temp\Reaktor5590SM\s6.mp3
- %WINDIR%\Temp\Reaktor5590SM\s10.mp3
- %WINDIR%\Temp\Reaktor5590SM\s14.mp3
- %WINDIR%\Temp\Reaktor5590SM\s15.mp3
- %WINDIR%\Temp\Reaktor5590SM\s16.mp3
- %WINDIR%\Temp\Reaktor5590SM\s11.mp3
- %WINDIR%\Temp\Reaktor5590SM\s12.mp3
- %WINDIR%\Temp\Reaktor5590SM\s13.mp3
- %TEMP%\SBCint2.exe
- %WINDIR%\bcsd2.dll
- %TEMP%\Dscp1.exe
- %TEMP%\_ir_sf_temp_0\irsetup.exe
- %TEMP%\_ir_sf_temp_0\lua5.1.dll
- %TEMP%\_ir_sf_temp_0\irsetup.dat
- %TEMP%\setupb.exe
- %WINDIR%\Temp\Reaktor5590SM\s1.mp3
- %WINDIR%\Temp\Reaktor5590SM\s2.mp3
- %WINDIR%\Temp\Reaktor5590SM\s3.mp3
- <LS_APPDATA>\Spoon\Sandbox\Universal Patch Collection Vol.1\1.0.0.0\xsandbox.bin.__tmp__
- %WINDIR%\Temp\Reaktor5590BM\tracer_patchBGM.mp3
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\setupb.exe
Удаляет следующие файлы:
- %TEMP%\_ir_sf_temp_0\lua5.1.dll
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
- %TEMP%\_ir_sf_temp_0\irsetup.dat
- %TEMP%\_ir_sf_temp_0\irsetup.exe
Перемещает следующие файлы:
- %TEMP%\SPOON\CACHE\0x2039CDB860D75B7C\sxs\_MyApplication.app@1.0.0.0\MyApplication.app.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0x2039CDB860D75B7C\sxs\_MyApplication.app@1.0.0.0\MyApplication.app.manifest
- %TEMP%\SPOON\CACHE\0x2039CDB860D75B7C\sxs\Manifests\CRK-TRAKTOR-268.exe_0xc31a712166bd22e926c70b3ed1dfc137.1.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0x2039CDB860D75B7C\sxs\Manifests\CRK-TRAKTOR-268.exe_0xc31a712166bd22e926c70b3ed1dfc137.1.manifest
- %TEMP%\SPOON\CACHE\0x2039CDB860D75B7C\sxs\_MyApplication.app@1.0.0.0\_MyApplication.app@1.0.0.0.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0x2039CDB860D75B7C\sxs\_MyApplication.app@1.0.0.0\_MyApplication.app@1.0.0.0.manifest
- <LS_APPDATA>\Spoon\Sandbox\Universal Patch Collection Vol.1\1.0.0.0\xsandbox.bin.__tmp__ в <LS_APPDATA>\Spoon\Sandbox\Universal Patch Collection Vol.1\1.0.0.0\xsandbox.bin
- <LS_APPDATA>\Spoon\Sandbox\Universal Patch Collection Vol.1\1.0.0.0\local\stubexe\0xC2BBEC4096A47A5F\CRK-TRAKTOR-268.exe.__tmp__ в <LS_APPDATA>\Spoon\Sandbox\Universal Patch Collection Vol.1\1.0.0.0\local\stubexe\0xC2BBEC4096A47A5F\CRK-TRAKTOR-268.exe
Сетевая активность:
Подключается к:
- 'st###.spoon.net':443
UDP:
- DNS ASK st###.spoon.net
Другое:
Ищет следующие окна:
- ClassName: 'MS_WINHELP' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
