Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\CRMSvc] 'ImagePath' = '"%WINDIR%\CRMSvc.exe"'
- [<HKLM>\SYSTEM\ControlSet001\Services\CRMSvc] 'Start' = '00000002'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%WINDIR%\CRMSvc.exe' = '%WINDIR%\CRMSvc.exe:*:Enabled:CRMSvc'
Запускает на исполнение:
- '%WINDIR%\CRMSvc.exe' --install
- '<SYSTEM32>\sc.exe' failure "CRMSvc" reset= 2 actions= restart/10000
- '%WINDIR%\CRMSvc.exe'
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%WINDIR%\CRMSvc.exe" CRMSvc ENABLE
- '<SYSTEM32>\cmd.exe' /C netsh firewall delete allowedprogram "%WINDIR%\CRMSvc.exe"
- '<SYSTEM32>\netsh.exe' firewall delete allowedprogram "%WINDIR%\CRMSvc.exe"
- '<SYSTEM32>\cmd.exe' /C netsh firewall add allowedprogram "%WINDIR%\CRMSvc.exe" CRMSvc ENABLE
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\CRMSvc.InstallState
- %WINDIR%\CRMSvc.InstallLog
- %WINDIR%\CRMSvc.exe
Удаляет следующие файлы:
- %WINDIR%\CRMSvc.InstallState
- %WINDIR%\CRMSvc.InstallLog
Сетевая активность:
Подключается к:
- '5.#.16.230':2247
- '17#.#.118.173':2247
- 'wp#d':80
- '17#.9.8.183':2247
TCP:
Запросы HTTP GET:
- http://11#.#11.111.1/wpad.dat via wp#d
UDP:
- DNS ASK wp#d
