Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Shift Green OFF] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\Shift Green OFF] 'ImagePath' = '%ProgramFiles%\shift\Shift Green OFF\ServiceMan.EXE'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /f /im ServiceMan.exe /t
- '<SYSTEM32>\taskkill.exe' /f /im SmartMan.exe /t
- '<SYSTEM32>\taskkill.exe' /f /im StartMan.exe /t
- '<SYSTEM32>\taskkill.exe' /F /im SmartMan.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\is-N2BDF.tmp\<Имя файла>.tmp
- %TEMP%\is-U8LNG.tmp\isskin.dll
- %TEMP%\is-U8LNG.tmp\Office2007.cjstyles
- %ProgramFiles%\shift\Shift Green OFF\is-VF167.tmp
- %ProgramFiles%\shift\Shift Green OFF\is-O68R3.tmp
- %ProgramFiles%\shift\Shift Green OFF\is-V2URK.tmp
- %ProgramFiles%\shift\Shift Green OFF\is-5T3NK.tmp
- %ProgramFiles%\shift\Shift Green OFF\conf\is-1MM1R.tmp
- %ProgramFiles%\shift\Shift Green OFF\image\is-9ERC3.tmp
- %ProgramFiles%\shift\Shift Green OFF\image\is-L0EJL.tmp
- %ProgramFiles%\shift\Shift Green OFF\image\is-NGHUM.tmp
- %ProgramFiles%\shift\Shift Green OFF\image\is-C6QG6.tmp
- %ProgramFiles%\shift\Shift Green OFF\styles\is-IL4AU.tmp
- %ProgramFiles%\shift\Shift Green OFF\is-42P0Q.tmp
- %ProgramFiles%\shift\Shift Green OFF\logs\StartManLog_2018_12_26.save
- %ProgramFiles%\shift\Shift Green OFF\logs\SmartManLog_2018_12_26.save
Удаляет следующие файлы:
- %TEMP%\is-U8LNG.tmp\isskin.dll
- %TEMP%\is-U8LNG.tmp\Office2007.cjstyles
Перемещает следующие файлы:
- %ProgramFiles%\shift\Shift Green OFF\is-VF167.tmp в %ProgramFiles%\shift\Shift Green OFF\DeleteMan.exe
- %ProgramFiles%\shift\Shift Green OFF\is-O68R3.tmp в %ProgramFiles%\shift\Shift Green OFF\ServiceMan.exe
- %ProgramFiles%\shift\Shift Green OFF\is-V2URK.tmp в %ProgramFiles%\shift\Shift Green OFF\SmartMan.exe
- %ProgramFiles%\shift\Shift Green OFF\is-5T3NK.tmp в %ProgramFiles%\shift\Shift Green OFF\StartMan.exe
- %ProgramFiles%\shift\Shift Green OFF\conf\is-1MM1R.tmp в %ProgramFiles%\shift\Shift Green OFF\conf\ServiceSetList.conf
- %ProgramFiles%\shift\Shift Green OFF\image\is-9ERC3.tmp в %ProgramFiles%\shift\Shift Green OFF\image\finish.bmp
- %ProgramFiles%\shift\Shift Green OFF\image\is-L0EJL.tmp в %ProgramFiles%\shift\Shift Green OFF\image\info1.bmp
- %ProgramFiles%\shift\Shift Green OFF\image\is-NGHUM.tmp в %ProgramFiles%\shift\Shift Green OFF\image\intro_bg.bmp
- %ProgramFiles%\shift\Shift Green OFF\image\is-C6QG6.tmp в %ProgramFiles%\shift\Shift Green OFF\image\warn.bmp
- %ProgramFiles%\shift\Shift Green OFF\styles\is-IL4AU.tmp в %ProgramFiles%\shift\Shift Green OFF\styles\WinXP.Royale.cjstyles
- %ProgramFiles%\shift\Shift Green OFF\is-42P0Q.tmp в %ProgramFiles%\shift\Shift Green OFF\LICENSE
Сетевая активность:
Подключается к:
- '10.##.112.29':8080
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
Создает и запускает на исполнение:
- '%TEMP%\is-N2BDF.tmp\<Имя файла>.tmp' /SL5="$30092,3094709,58368,<Полный путь к файлу>"
- '%ProgramFiles%\shift\Shift Green OFF\ServiceMan.exe' -install
- '%ProgramFiles%\shift\Shift Green OFF\ServiceMan.exe' -start
- '%ProgramFiles%\shift\Shift Green OFF\ServiceMan.exe'
- '%ProgramFiles%\shift\Shift Green OFF\StartMan.exe' rebt
- '%ProgramFiles%\shift\Shift Green OFF\SmartMan.exe' deft
- '%ProgramFiles%\shift\Shift Green OFF\StartMan.exe'
