Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'XSENZ' = '<SYSTEM32>\XSENZ.EXE'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\iservice] 'ImagePath' = '"%ProgramFiles%\infrasecure+\infrasecure+\iservice.exe"'
- [<HKLM>\SYSTEM\ControlSet001\Services\iservice] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%ProgramFiles%\infrasecure+\infrasecure+\infrasecure.exe'
- '%ProgramFiles%\infrasecure+\infrasecure+\iservice.exe'
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /IM REG.EXE /F
- '<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\MICROSOFT\PPC
- '<SYSTEM32>\taskkill.exe' /im reg.exe /f /t
- '<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\MICROSOFT\PPC /reg:32
- '<SYSTEM32>\sc.exe' start iservice
- '<SYSTEM32>\attrib.exe' -a -h -s -r
- '<SYSTEM32>\cmd.exe' /c ""c:\temp\isfiles\install.bat" "
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\InstallUtil.exe' "%ProgramFiles%\infrasecure+\infrasecure+\iservice.exe"
- '<SYSTEM32>\taskkill.exe' /im iservice.exe /t /f
Изменения в файловой системе:
Создает следующие файлы:
- %ProgramFiles%\infrasecure+\infrasecure+\Interop.JRO.dll
- <SYSTEM32>\isecplussrv.csg
- <SYSTEM32>\isecplusweb.csg
- %ProgramFiles%\infrasecure+\infrasecure+\Interop.IWshRuntimeLibrary.dll
- %ProgramFiles%\infrasecure+\infrasecure+\XSENZ.exe
- %ProgramFiles%\infrasecure+\infrasecure+\Interop.ADODB.dll
- %ProgramFiles%\infrasecure+\infrasecure+\Interop.ADOX.dll
- <SYSTEM32>\PROFNAME.CSG
- %ProgramFiles%\infrasecure+\infrasecure+\iservice.InstallState
- <SYSTEM32>\iSECURELog.txt
- C:\Documents and Settings\LocalService\Local Settings\Application Data\GDIPFONTCACHEV1.DAT
- %ProgramFiles%\infrasecure+\infrasecure+\iservice.InstallLog
- <SYSTEM32>\Isecw.exe
- <SYSTEM32>\XSENZ.exe
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\InstallUtil.InstallLog
- C:\temp\isfiles\isecplusweb.csg
- C:\temp\isfiles\Isecw.exe
- C:\temp\isfiles\iservice.exe
- C:\temp\isfiles\isecplussrv.csg
- C:\temp\isfiles\Interop.ADOX.dll
- C:\temp\isfiles\Interop.IWshRuntimeLibrary.dll
- C:\temp\isfiles\Interop.JRO.dll
- C:\temp\isfiles\PROFNAME.CSG
- %ProgramFiles%\infrasecure+\infrasecure+\infrasecure.exe
- %ProgramFiles%\infrasecure+\infrasecure+\Isecw.exe
- %ProgramFiles%\infrasecure+\infrasecure+\iservice.exe
- C:\temp\isfiles\Interop.ADODB.dll
- C:\temp\isfiles\XSENZ.exe
- C:\temp\isfiles\infrasecure.exe
- C:\temp\isfiles\install.bat
Изменяет файл HOSTS.
Сетевая активность:
UDP:
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
