Техническая информация
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\ShowMyPC\-<Имя файла>\tvnserver.exe' = '%TEMP%\ShowMyPC\-<Имя ф...
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\ShowMyPC\-<Имя файла>\SMPCSetup.exe' = '%TEMP%\ShowMyPC\-<Имя ф...
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%TEMP%\ShowMyPC\-<Имя файла>\tvnserver.exe" "ShowMyPCtvnservertemp" ENABLE
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="ShowMyPCtvnservertemp" dir=in action=allow program="%TEMP%\ShowMyPC\-<Имя файла>\tvnserver.exe" enable=yes
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%TEMP%\ShowMyPC\-<Имя файла>\SMPCSetup.exe" "ShowMyPCAuto" ENABLE
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="ShowMyPCAuto" dir=in action=allow program="%TEMP%\ShowMyPC\-<Имя файла>\SMPCSetup.exe" enable=yes
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\ShowMyPC\-<Имя файла>\DiffieHellman.dll
- %TEMP%\ShowMyPC\-<Имя файла>\Org.Mentalis.Security.dll
- %TEMP%\ShowMyPC\-<Имя файла>\XDMessaging.dll
- %TEMP%\ShowMyPC\-<Имя файла>\wodVPN.dll
- %TEMP%\ShowMyPC\-<Имя файла>\wodVPN.dll.manifest
- %TEMP%\ShowMyPC\-<Имя файла>\Interop.WODVPNCOMLib.dll
- %TEMP%\ShowMyPC\-<Имя файла>\loading.html
- %HOMEPATH%\Desktop\ShowMyPC.lnk
- %TEMP%\Cab4.tmp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\about-us1[1].html
- %TEMP%\ShowMyPC\-<Имя файла>\spcplink.exe
- %TEMP%\ShowMyPC\-<Имя файла>\smpcview.exe
- %TEMP%\ShowMyPC\-<Имя файла>\smpcview.exe.config
- %TEMP%\ShowMyPC\-<Имя файла>\screenhooks.dll
- %TEMP%\ShowMyPC\-<Имя файла>\smpcvc.exe
- %TEMP%\ShowMyPC\-<Имя файла>\settings.ini
- %TEMP%\ShowMyPC\-<Имя файла>\SMPCSetup.exe
- %TEMP%\nsq2.tmp
- %TEMP%\nsk3.tmp\md5dll.dll
- %TEMP%\nsk3.tmp\System.dll
- %TEMP%\ShowMyPC\-<Имя файла>\SMPCSetup.exe.config
- %TEMP%\ShowMyPC\-<Имя файла>\mm2.res
- %TEMP%\ShowMyPC\-<Имя файла>\smwg.exe
- %TEMP%\ShowMyPC\-<Имя файла>\sas.dll
- %TEMP%\ShowMyPC\-<Имя файла>\SMPCSetup.exe.manifest
- %TEMP%\ShowMyPC\-<Имя файла>\smvnview.exe
- %TEMP%\ShowMyPC\-<Имя файла>\tvnserver.exe
Удаляет следующие файлы:
- %TEMP%\Cab4.tmp
- %TEMP%\nsk3.tmp\System.dll
- %TEMP%\nsk3.tmp\md5dll.dll
Сетевая активность:
Подключается к:
- 'localhost':1041
- 'sh###ypc.com':443
- 'sh###ypc.com':80
- 'wp#d':80
- 'cr#.##modoca.com':80
- 'download.windowsupdate.com':80
TCP:
Запросы HTTP GET:
- http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab via download.windowsupdate.com
- http://sh###ypc.com/app/about-us1.html?pv#####
- http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt via download.windowsupdate.com
- http://11#.#11.111.1/wpad.dat via wp#d
- http://cr#.##modoca.com/COMODORSACodeSigningCA.crt
UDP:
- DNS ASK www.download.windowsupdate.com
- DNS ASK sh###ypc.com
- DNS ASK wp#d
- DNS ASK cr#.##modoca.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
Создает и запускает на исполнение:
- '%TEMP%\ShowMyPC\-<Имя файла>\SMPCSetup.exe'
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall delete allowedprogram "%TEMP%\ShowMyPC\-<Имя файла>\tvnserver.exe"
- '<SYSTEM32>\netsh.exe' advfirewall firewall delete rule name="ShowMyPCtvnservertemp" program="%TEMP%\ShowMyPC\-<Имя файла>\tvnserver.exe"
- '<SYSTEM32>\netsh.exe' advfirewall firewall delete rule name="ShowMyPCAuto" program="%TEMP%\ShowMyPC\-<Имя файла>\SMPCSetup.exe"
- '<SYSTEM32>\regsvr32.exe' "%TEMP%\ShowMyPC\-<Имя файла>\wodVPN.dll" /s
- '<SYSTEM32>\netsh.exe' firewall delete allowedprogram "%TEMP%\ShowMyPC\-<Имя файла>\SMPCSetup.exe"
