Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '20db74e5c0d9fa4a.exe' = '<LS_APPDATA>\20db74e5c0d9fa4a.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\4c022957562e7967] 'Start' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\4c022957562e7967] 'ImagePath' = '<DRIVERS>\4c022957562e7967.sys'
- [<HKLM>\SYSTEM\ControlSet001\Services\233e7] 'Start' = '00000001'
Вредоносные функции:
Создает и запускает на исполнение:
- <LS_APPDATA>\20db74e5c0d9fa4a.exe
Перехватывает следующие функции в SSDT (System Service Descriptor Table):
- NtOpenThread, драйвер-обработчик: 4c022957562e7967.sys
- NtOpenProcess, драйвер-обработчик: 4c022957562e7967.sys
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\Temporary Internet Files\Content.IE5\VQUJNR68\header_button[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\MJBBCIZC\hr_back[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\0P2RGDI7\menu_firewall[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\W3ZW7V93\menu_configuration[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\MJBBCIZC\box100_back[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\MJBBCIZC\check_on_red[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\W3ZW7V93\red_arrow_back[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\VQUJNR68\check_off_blue[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\0P2RGDI7\menu_proactive_defence[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\W3ZW7V93\alert_button[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\VQUJNR68\background[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\0P2RGDI7\greenalert_back[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\0P2RGDI7\hralert_back[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\MJBBCIZC\menu_internet_security[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\W3ZW7V93\menu_personal_security[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\VQUJNR68\menu_main[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\MJBBCIZC\menu_perform_scan[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\0P2RGDI7\enable_button[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\W3ZW7V93\redcross_list[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\VQUJNR68\redalert_back[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\VQUJNR68\keys[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\MJBBCIZC\apply_button[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\W3ZW7V93\orange_icon[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\VQUJNR68\red_icon[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\MJBBCIZC\leftmenu_back_h[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\0P2RGDI7\table_row_back[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\0P2RGDI7\process_bar[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\VQUJNR68\scannow_back[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\0P2RGDI7\updatenow_back[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\W3ZW7V93\recommendation_back[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\VQUJNR68\box50_back[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\MJBBCIZC\process_back[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\0P2RGDI7\process_button[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\W3ZW7V93\calendar[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\W3ZW7V93\table_header[1].png
- %TEMP%\Temporary Internet Files\Content.IE5\MJBBCIZC\greencheck_list[1].png
- %HOMEPATH%\Desktop\Buy Advanced PC Shield 2012.lnk
- %TEMP%\Temporary Internet Files\Content.IE5\0P2RGDI7\index[1].html
- %HOMEPATH%\Start Menu\Programs\Advanced PC Shield 2012\Launch Advanced PC Shield 2012.lnk
- %HOMEPATH%\Start Menu\Programs\Advanced PC Shield 2012\Buy Advanced PC Shield 2012.lnk
- %TEMP%\Temporary Internet Files\Content.IE5\W3ZW7V93\serial[1].html
- %TEMP%\Temporary Internet Files\Content.IE5\W3ZW7V93\13[1].html
- %TEMP%\Temporary Internet Files\Content.IE5\0P2RGDI7\alert_reg[1].html
- %TEMP%\Temporary Internet Files\Content.IE5\0P2RGDI7\alert_danger[1].html
- %TEMP%\History\History.IE5\desktop.ini
- <DRIVERS>\4c022957562e7967.sys
- %TEMP%\Temporary Internet Files\Content.IE5\desktop.ini
- <LS_APPDATA>\20db74e5c0d9fa4a.exe
- <DRIVERS>\233e7.sys
- %TEMP%\Temporary Internet Files\Content.IE5\VQUJNR68\desktop.ini
- %TEMP%\Temporary Internet Files\Content.IE5\MJBBCIZC\desktop.ini
- %TEMP%\Temporary Internet Files\Content.IE5\0P2RGDI7\desktop.ini
- %TEMP%\Temporary Internet Files\Content.IE5\W3ZW7V93\desktop.ini
- %TEMP%\Temporary Internet Files\Content.IE5\VQUJNR68\base.reset[1].css
- %TEMP%\Temporary Internet Files\Content.IE5\MJBBCIZC\style[2].css
- %TEMP%\Temporary Internet Files\Content.IE5\0P2RGDI7\l_t_bl[1].gif
- %TEMP%\Temporary Internet Files\Content.IE5\VQUJNR68\style[1].css
- %TEMP%\Temporary Internet Files\Content.IE5\MJBBCIZC\style[1].css
- %TEMP%\Temporary Internet Files\Content.IE5\W3ZW7V93\l_b_bl[1].gif
- %TEMP%\Temporary Internet Files\Content.IE5\VQUJNR68\r_b_bl[1].gif
- %TEMP%\Temporary Internet Files\Content.IE5\0P2RGDI7\r_t_bl[1].gif
- %TEMP%\Temporary Internet Files\Content.IE5\W3ZW7V93\cr[1].jpg
- %TEMP%\Temporary Internet Files\Content.IE5\VQUJNR68\DD_belatedPNG[2].js
- %TEMP%\Temporary Internet Files\Content.IE5\VQUJNR68\DD_belatedPNG[1].js
- %TEMP%\Temporary Internet Files\Content.IE5\MJBBCIZC\base.index[1].css
- %TEMP%\Temporary Internet Files\Content.IE5\MJBBCIZC\base.reg[1].css
- %TEMP%\Temporary Internet Files\Content.IE5\VQUJNR68\14[1].html
- %TEMP%\Temporary Internet Files\Content.IE5\W3ZW7V93\base.reset[1].css
- %TEMP%\Temporary Internet Files\Content.IE5\0P2RGDI7\base.alert[1].css
- %TEMP%\Temporary Internet Files\Content.IE5\MJBBCIZC\base.reset[1].css
- %TEMP%\Temporary Internet Files\Content.IE5\W3ZW7V93\scripts[1].js
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\Temporary Internet Files\Content.IE5\VQUJNR68\desktop.ini
- %TEMP%\Temporary Internet Files\Content.IE5\MJBBCIZC\desktop.ini
- %TEMP%\History\History.IE5\desktop.ini
- %TEMP%\Temporary Internet Files\Content.IE5\desktop.ini
- %TEMP%\Temporary Internet Files\Content.IE5\0P2RGDI7\desktop.ini
- %TEMP%\Temporary Internet Files\Content.IE5\W3ZW7V93\desktop.ini
Удаляет следующие файлы:
- %TEMP%\Temporary Internet Files\Content.IE5\VQUJNR68\style[1].css
- %TEMP%\Temporary Internet Files\Content.IE5\MJBBCIZC\style[1].css
- %TEMP%\Temporary Internet Files\Content.IE5\VQUJNR68\DD_belatedPNG[1].js
- <DRIVERS>\233e7.sys
- %TEMP%\Temporary Internet Files\Content.IE5\VQUJNR68\base.reset[1].css
- %TEMP%\Temporary Internet Files\Content.IE5\MJBBCIZC\base.reset[1].css
Самоперемещается:
- из <Полный путь к вирусу> в %TEMP%\ed2330fb.tmp
Самоудаляется.
Сетевая активность:
Подключается к:
- 'localhost':1038
- 'localhost':1039
- '17#.#62.174.147':80
TCP:
Запросы HTTP GET:
- 17#.#62.174.147/api/stats/install/2001/17402
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'wscui_class' WindowName: 'Windows Security Center'
- ClassName: 'SysListView32' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
