Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\usb_driver\DPInst32.exe' /PATH "%TEMP%\usb_driver" /SW
- '%TEMP%\_temp_xiaomi_.exe'
- '%TEMP%\_temp_.exe'
- '%TEMP%\usb_driver\devsetup32.exe' /PATH "%TEMP%\usb_driver" /SW
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\DRVSTORE\android_wi_743114EDA094601EC404AC872B052CBEDC21A851\android_winusb.inf
- <SYSTEM32>\DRVSTORE\android_wi_743114EDA094601EC404AC872B052CBEDC21A851\xiaomiwinusb86.cat
- %WINDIR%\inf\oem3.PNF
- %ProgramFiles%\DIFX\0BF0A60D05C24672\DPInst32.exe
- <SYSTEM32>\DRVSTORE\android_wi_743114EDA094601EC404AC872B052CBEDC21A851\i386\WinUSBCoInstaller2.dll
- %WINDIR%\inf\oem4.inf
- %WINDIR%\inf\oem4.PNF
- <SYSTEM32>\DRVSTORE\android_wi_743114EDA094601EC404AC872B052CBEDC21A851\i386\WdfCoInstaller01009.dll
- <SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\oem4.CAT
- %TEMP%\_temp_.exe
- %WINDIR%\DPINST.LOG
- <Текущая директория>\log.txt
- %TEMP%\_temp_xiaomi_.exe
- <SYSTEM32>\DRVSTORE\android_wi_0C6066626B074BA95F4EBDF6F774E568859D4D9F\android_winusb.inf
- <SYSTEM32>\DRVSTORE\android_wi_0C6066626B074BA95F4EBDF6F774E568859D4D9F\i386\WdfCoInstaller01009.dll
- %WINDIR%\inf\oem3.inf
- <SYSTEM32>\DRVSTORE\android_wi_0C6066626B074BA95F4EBDF6F774E568859D4D9F\android_winusb.cat
- <SYSTEM32>\DRVSTORE\android_wi_0C6066626B074BA95F4EBDF6F774E568859D4D9F\i386\WinUSBCoInstaller2.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\oem4.CAT
Удаляет следующие файлы:
- %TEMP%\usb_driver\dev.ini
- %TEMP%\usb_driver\android_winusb.inf
- %TEMP%\_temp_.exe
Подменяет следующие файлы:
- %TEMP%\usb_driver\dev.ini
- %TEMP%\usb_driver\android_winusb.inf
Сетевая активность:
Подключается к:
- 'cr#.#hawte.com':80
- 'ts####.ws.symantec.com':80
- '20#.#6.232.182':80
- 'wp#d':80
- 'crl.verisign.com':80
- 'csc3-2010-crl.verisign.com':80
TCP:
Запросы HTTP GET:
- http://crl.microsoft.com/pki/crl/products/microsoftrootcert.crl via 20#.#6.232.182
- http://ts####.ws.symantec.com/tss-ca-g2.crl
- http://crl.microsoft.com/pki/crl/products/tspca.crl via 20#.#6.232.182
- http://www.microsoft.com/pki/CRL/products/Microsoft%20Windows%20Hardware%20Compatibility%20PCA(1).crl via 20#.#6.232.182
- http://cr#.#hawte.com/ThawteTimestampingCA.crl
- http://crl.verisign.com/pca3.crl
- http://11#.#11.111.1/wpad.dat via wp#d
- http://csc3-2010-crl.verisign.com/CSC3-2010.crl
- http://crl.verisign.com/pca3-g5.crl
UDP:
- DNS ASK ts####.ws.symantec.com
- DNS ASK crl.microsoft.com
- DNS ASK www.microsoft.com
- DNS ASK cr#.#hawte.com
- DNS ASK wp#d
- DNS ASK crl.verisign.com
- DNS ASK csc3-2010-crl.verisign.com
Другое:
Ищет следующие окна:
- ClassName: 'EDIT' WindowName: ''
