Техническая информация
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\RarSFX0\HIW\recover.exe' = '%TEMP%\RarSFX0\HIW\recover.exe:*:En...
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RarSFX0\distributables\MSRuntime Libraries.msi
- %TEMP%\RarSFX0\HIW\ui\103_fail_auth.ui
- %TEMP%\RarSFX0\HIW\ui\103_fail_flash.ui
- %TEMP%\RarSFX0\HIW\ui\103_fail_multi.ui
- %TEMP%\RarSFX0\HIW\ui\103_fail_none.ui
- %TEMP%\RarSFX0\HIW\xml\fsm.dtd
- %TEMP%\RarSFX0\HIW\xml\scen_Recover.xml
- %TEMP%\RarSFX0\Images\Thumbs.db
- %TEMP%\RarSFX0\SysFiles\msvcm80.dll
- %TEMP%\RarSFX0\SysFiles\msvcp80.dll
- %TEMP%\RarSFX0\SysFiles\qt-mt332.dll
- C:\Config.Msi\25da9.rbs
- %TEMP%\RarSFX0\SysFiles\qt-mt337.dll
- %TEMP%\RarSFX0\start.cfg
- %TEMP%\RarSFX0\start.exe
- %TEMP%\RarSFX0\start.exe.manifest
- %TEMP%\RarSFX0\HIW\sw\recovery.bin
- %WINDIR%\Installer\25da6.msi
- %WINDIR%\Installer\25da8.ipi
- %WINDIR%\Installer\MSI1.tmp
- %WINDIR%\Installer\MSI2.tmp
- %TEMP%\RarSFX0\HIW\ui\102_success.ui
- %TEMP%\RarSFX0\SysFiles\msvcr80.dll
- %TEMP%\RarSFX0\HIW\ui\100_recovering.ui
- %TEMP%\RarSFX0\HIW\plugins\rndisAdaptorMgr.dll
- %TEMP%\RarSFX0\HIW\comnet.dll
- %TEMP%\RarSFX0\HIW\designer\comctrl.dll
- %TEMP%\RarSFX0\HIW\dmapi.dll
- %TEMP%\RarSFX0\HIW\images\Thumbs.db
- %TEMP%\RarSFX0\HIW\plugins\deviceStates.dll
- %TEMP%\RarSFX0\HIW\plugins\genericStates.dll
- %TEMP%\RarSFX0\HIW\plugins\guiStates.dll
- %TEMP%\RarSFX0\HIW\plugins\pluginStates.dll
- %TEMP%\RarSFX0\HIW\plugins\RawEtherAdaptorMgr.dll
- %TEMP%\RarSFX0\HIW\plugins\speedTouchStates.dll
- %TEMP%\RarSFX0\HIW\ScriptDLL.dll
- %TEMP%\RarSFX0\HIW\plugins\winStates.dll
- %TEMP%\RarSFX0\HIW\qt-mt332.dll
- %TEMP%\RarSFX0\HIW\qt-mt337.dll
- %TEMP%\RarSFX0\HIW\Rawether\PCANDIS3.VXD
- %TEMP%\RarSFX0\HIW\Rawether\PCANDIS5.SYS
- %TEMP%\RarSFX0\HIW\Rawether\W32N50.DLL
- %TEMP%\RarSFX0\HIW\recover.config
- %TEMP%\RarSFX0\HIW\recover.exe
- %TEMP%\RarSFX0\HIW\recovery.exe.manifest
- %TEMP%\RarSFX0\HIW\stInstall.config
- %WINDIR%\Installer\25daa.msi
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\RarSFX0\HIW\images\Thumbs.db
- %TEMP%\RarSFX0\Images\Thumbs.db
Удаляет следующие файлы:
- %WINDIR%\Installer\MSI1.tmp
- %WINDIR%\Installer\MSI2.tmp
- C:\Config.Msi\25da9.rbs
- %WINDIR%\Installer\25da6.msi
- %WINDIR%\Installer\25da8.ipi
- %TEMP%\RarSFX0\start.cfg
- %TEMP%\RarSFX0\start.exe
- %TEMP%\RarSFX0\start.exe.manifest
- %TEMP%\RarSFX0\SysFiles\msvcm80.dll
- %TEMP%\RarSFX0\SysFiles\msvcp80.dll
- %TEMP%\RarSFX0\SysFiles\msvcr80.dll
- %TEMP%\RarSFX0\SysFiles\qt-mt332.dll
- %TEMP%\RarSFX0\SysFiles\qt-mt337.dll
- %TEMP%\RarSFX0\Images\Thumbs.db
- %TEMP%\RarSFX0\HIW\comnet.dll
Сетевая активность:
UDP:
- '22#.0.0.103':3235
Другое:
Ищет следующие окна:
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение:
- '%TEMP%\RarSFX0\start.exe'
- '%TEMP%\RarSFX0\HIW\recover.exe'
Запускает на исполнение:
- '<SYSTEM32>\msiexec.exe' /qn /i "distributables\MSRuntime Libraries.msi"
- '<SYSTEM32>\msiexec.exe' /V
- '<SYSTEM32>\msiexec.exe' -Embedding 4E4396F45181ADA4850E24F3A3C127B7
