Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WinStartYou' = '%ProgramFiles%\WinStartYou\WinStartYou.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\ServiceWS] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\ServiceWS] 'ImagePath' = '"%WINDIR%\AppService\ServiceWS.exe"'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%ProgramFiles%\WinStartYou\WinStartYOU.exe' = '%ProgramFiles%\WinStart...
Изменения в файловой системе:
Создает следующие файлы:
- %CommonProgramFiles%\ME\RepIshWSY.etx
- %ProgramFiles%\WinStartYou\WSYErr.etx
- C:\Documents and Settings\LocalService\Local Settings\Application Data\GDIPFONTCACHEV1.DAT
- %WINDIR%\AppService\SerMeERR.etx
- %ProgramFiles%\WinStartYou\1av.etx.tmp
- %ProgramFiles%\WinStartYou\Emgu.CV.dll.tmp
- %ProgramFiles%\WinStartYou\WinSound.dll.tmp
- %ProgramFiles%\WinStartYou\TCPCam.dll.tmp
- %ProgramFiles%\WinStartYou\Ionic.Zip.dll.tmp
- %ProgramFiles%\WinStartYou\Emgu.Util.dll.tmp
- %ProgramFiles%\WinStartYou\WinStartYOU.exe.tmp
- %WINDIR%\WSY.ezi
- %ProgramFiles%\WinStartYou\Var.ezi
- %ProgramFiles%\WinStartYou\Com.ezi
- %ProgramFiles%\WinStartYou\WSY.ezi
- %WINDIR%\AppService\ServiceInfWSY.etx
- %WINDIR%\AppService\RisCmd.etx
- %WINDIR%\AppService\ServiceWS.InstallState
- %WINDIR%\AppService\ServiceWS.InstallLog
- %WINDIR%\AppService\InstallUtil.InstallLog
- %WINDIR%\AppService\InstallaServizio.cmd
- %WINDIR%\SilentCMD.exe
- %WINDIR%\AppService\Interop.IWshRuntimeLibrary.dll
- %WINDIR%\AppService\ServiceWS.exe
- %WINDIR%\AppService\taskschd.dll
- %WINDIR%\AppService\Ionic.Zip.dll
- %WINDIR%\AppService\Interop.TaskScheduler.dll
- <LS_APPDATA>\ME\WSY\InfWSY.ecr
- C:\Documents and Settings\LocalService\Local Settings\Application Data\ME\WSY\DataWSY.ecr
- C:\Documents and Settings\LocalService\Local Settings\Application Data\ME\WinStartYou.exe_Url_rkn0jkgk0xxpj513rczyulu4syldak3t\10.17.4.18\auygwza3.newcfg
Удаляет следующие файлы:
- %ProgramFiles%\WinStartYou\WSY.ezi
- %ProgramFiles%\WinStartYou\Com.ezi
- %ProgramFiles%\WinStartYou\Var.ezi
- %ProgramFiles%\WinStartYou\1av.etx
Перемещает следующие файлы:
- %ProgramFiles%\WinStartYou\WinStartYOU.exe.tmp в %ProgramFiles%\WinStartYou\WinStartYOU.exe
- %ProgramFiles%\WinStartYou\Emgu.Util.dll.tmp в %ProgramFiles%\WinStartYou\Emgu.Util.dll
- %ProgramFiles%\WinStartYou\Ionic.Zip.dll.tmp в %ProgramFiles%\WinStartYou\Ionic.Zip.dll
- %ProgramFiles%\WinStartYou\TCPCam.dll.tmp в %ProgramFiles%\WinStartYou\TCPCam.dll
- %ProgramFiles%\WinStartYou\WinSound.dll.tmp в %ProgramFiles%\WinStartYou\WinSound.dll
- %ProgramFiles%\WinStartYou\Emgu.CV.dll.tmp в %ProgramFiles%\WinStartYou\Emgu.CV.dll
- %ProgramFiles%\WinStartYou\1av.etx.tmp в %ProgramFiles%\WinStartYou\1av.etx
- C:\Documents and Settings\LocalService\Local Settings\Application Data\ME\WinStartYou.exe_Url_rkn0jkgk0xxpj513rczyulu4syldak3t\10.17.4.18\auygwza3.newcfg в C:\Documents and Settings\LocalService\Local Settings\Application Data\ME\WinStartYou.exe_Url_rkn0jkgk0xxpj513rczyulu4syldak3t\10.17.4.18\user.config
Сетевая активность:
Подключается к:
- 're####n76.no-ip.org':8977
- 'localhost':8977
UDP:
- DNS ASK re####n76.no-ip.org
Другое:
Создает и запускает на исполнение:
- '%WINDIR%\AppService\ServiceWS.exe'
- '%ProgramFiles%\WinStartYou\WinStartYOU.exe'
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%WINDIR%\AppService\InstallaServizio.cmd" "
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\InstallUtil.exe' ServiceWS.exe
- '<SYSTEM32>\sc.exe' Start ServiceWS
