Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'cidaemon' = '"%APPDATA%\Microsoft\Windows\dllcache\cidaemon.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'cidaemon' = '"%APPDATA%\Microsoft\Windows\dllcache\cidaemon.exe"'
- [<HKCU>\Software\Microsoft\Command Processor] 'AutoRun' = '"%APPDATA%\Microsoft\Windows\dllcache\cidaemon.exe"'
- [<HKCU>\Control Panel\Desktop] 'SCRNSAVE.EXE' = '"%APPDATA%\Microsoft\Windows\dllcache\cidaemon.exe"'
Создает или изменяет следующие файлы
- %HOMEPATH%\start menu\programs\startup\cidaemon.lnk
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
- %WINDIR%\explorer.exe
- <SYSTEM32>\ctfmon.exe
следующие пользовательские процессы:
- iexplore.exe
- firefox.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\508softwareandos.doc
Изменения в файловой системе
Создает следующие файлы
- C:\system volume information\efs0.log
- %APPDATA%\microsoft\windows\dllcache\safrdm.dll
- %APPDATA%\microsoft\windows\dllcache\icwphbk.dll
- %APPDATA%\microsoft\windows\dllcache\qmgrprxy.dll
- %APPDATA%\microsoft\windows\dllcache\ndptsp.tsp
- %APPDATA%\microsoft\windows\dllcache\himem.sys
- %APPDATA%\microsoft\windows\dllcache\pid.dll
- %APPDATA%\microsoft\windows\dllcache\racpldlg.dll
- %APPDATA%\microsoft\windows\dllcache\wshbth.dll
- %APPDATA%\microsoft\windows\dllcache\kbdtuq.dll
- %APPDATA%\microsoft\windows\dllcache\savedump.exe
- %APPDATA%\microsoft\windows\dllcache\langwrbk.dll
- %APPDATA%\microsoft\windows\dllcache\unimdm.tsp
- %APPDATA%\microsoft\windows\dllcache\kbdest.dll
- %APPDATA%\microsoft\windows\dllcache\qmgr.dll
- %APPDATA%\microsoft\windows\dllcache\rasautou.exe
- %APPDATA%\microsoft\windows\dllcache\blackbox.dll
- %APPDATA%\microsoft\windows\dllcache\main.cpl
- %APPDATA%\microsoft\windows\dllcache\datime.dll
- %APPDATA%\microsoft\windows\dllcache\dsdmo.dll
- %APPDATA%\microsoft\windows\dllcache\tapi.dll
- %APPDATA%\microsoft\windows\dllcache\basesrv.dll
- %APPDATA%\microsoft\windows\dllcache\catsrv.dll
- %APPDATA%\microsoft\windows\dllcache\browseui.dll
- %APPDATA%\microsoft\windows\dllcache\mll_qic.dll
- %APPDATA%\microsoft\windows\dllcache\fc.exe
- %APPDATA%\microsoft\windows\dllcache\certcli.dll
- %APPDATA%\microsoft\windows\dllcache\dataclen.dll
- %APPDATA%\microsoft\windows\dllcache\devmgr.dll
- %APPDATA%\microsoft\windows\dllcache\g711codc.ax
- %APPDATA%\microsoft\windows\dllcache\kbdpash.dll
- %APPDATA%\microsoft\windows\dllcache\cdplayer.exe.manifest
- %APPDATA%\microsoft\windows\dllcache\webfldrs.msi
- %APPDATA%\microsoft\windows\dllcache\vga64k.dll
- %APPDATA%\microsoft\windows\dllcache\udhisapi.dll
- %APPDATA%\microsoft\windows\dllcache\mcicda.dll
- %APPDATA%\microsoft\windows\dllcache\gcdef.dll
- %APPDATA%\microsoft\windows\dllcache\pagefileconfig.vbs
- %APPDATA%\microsoft\windows\dllcache\sigverif.exe
- %APPDATA%\microsoft\windows\dllcache\xolehlp.dll
- %APPDATA%\microsoft\windows\dllcache\umpnpmgr.dll
- %APPDATA%\microsoft\windows\dllcache\grpconv.exe
- %APPDATA%\microsoft\windows\dllcache\noise.chs
- %APPDATA%\microsoft\windows\dllcache\napstat.exe
- %APPDATA%\microsoft\windows\dllcache\aaclient.dll
- %APPDATA%\microsoft\windows\dllcache\xpsshhdr.dll
- %APPDATA%\microsoft\windows\dllcache\idq.dll
- %APPDATA%\microsoft\windows\dllcache\rasmontr.dll
- %APPDATA%\microsoft\windows\dllcache\rasctrnm.h
- %APPDATA%\microsoft\windows\dllcache\inetcplc.dll
- %APPDATA%\microsoft\windows\dllcache\packager.exe
- %APPDATA%\microsoft\windows\dllcache\wbcache.esn
- %APPDATA%\microsoft\windows\dllcache\mdhcp.dll
- %APPDATA%\microsoft\windows\dllcache\kb16.com
- %APPDATA%\microsoft\windows\dllcache\emptyregdb.dat
- %APPDATA%\microsoft\windows\dllcache\audiosrv.dll
- %APPDATA%\microsoft\windows\dllcache\wowdeb.exe
- %APPDATA%\microsoft\windows\dllcache\wbcache.fra
- %APPDATA%\microsoft\windows\dllcache\expsrv.dll
- %APPDATA%\microsoft\windows\dllcache\rcimlby.exe
- %APPDATA%\microsoft\windows\dllcache\edlin.exe
- %APPDATA%\microsoft\windows\dllcache\tapisrv.dll
- %APPDATA%\microsoft\windows\dllcache\tcpsvcs.exe
- %APPDATA%\microsoft\windows\dllcache\mem.exe
- %APPDATA%\microsoft\windows\dllcache\cabinet.dll
- %APPDATA%\microsoft\windows\dllcache\tspkg.dll
- %APPDATA%\microsoft\windows\dllcache\acelpdec.ax
- %APPDATA%\microsoft\windows\dllcache\esentprf.hxx
- %APPDATA%\microsoft\windows\dllcache\d3dramp.dll
- %APPDATA%\microsoft\windows\dllcache\iassam.dll
- C:\documents and settings\default user\start menu\programs\startup\cidaemon.lnk
- %TEMP%\tmp4.tmp
- %APPDATA%\microsoft\windows\dllcache\rcx3.tmp
- %APPDATA%\microsoft\windows\dllcache\rcx2.tmp
- %TEMP%\tmp1.tmp
- %APPDATA%\microsoft\windows\dllcache\cidaemon.exe
- %APPDATA%\microsoft\systemcertificates\my\certificates\afbaa90ac3c78cedb4662ba774cfb40be71fef10
- %APPDATA%\microsoft\crypto\rsa\s-1-5-21-1229272821-842925246-1060284298-1003\526b24659d70b1b3f1d7f42fa891c6a0_5f9fe710-99e6-4c04-be62-a7f1b8b321d1
- %APPDATA%\microsoft\windows\dllcache\netid.dll
- %APPDATA%\microsoft\windows\dllcache\version.dll
- %APPDATA%\microsoft\windows\dllcache\tree.com
- %APPDATA%\microsoft\windows\dllcache\kbdsf.dll
- %APPDATA%\microsoft\windows\dllcache\wavemsp.dll
- %APPDATA%\microsoft\windows\dllcache\mfc100deu.dll
- %APPDATA%\microsoft\windows\dllcache\wdigest.dll
- %APPDATA%\microsoft\windows\dllcache\userenv.dll
- %APPDATA%\microsoft\windows\dllcache\els.dll
- %APPDATA%\microsoft\windows\dllcache\ncpa.cpl
- %APPDATA%\microsoft\windows\dllcache\aclui.dll
- %APPDATA%\microsoft\windows\dllcache\edit.com
- %APPDATA%\microsoft\windows\dllcache\tcpmib.dll
- %APPDATA%\microsoft\windows\dllcache\d3dpmesh.dll
- %APPDATA%\microsoft\windows\dllcache\tasklist.exe
- %APPDATA%\microsoft\windows\dllcache\faultrep.dll
- %APPDATA%\microsoft\windows\dllcache\kbdes.dll
- %APPDATA%\microsoft\windows\dllcache\esentprf.dll
- %APPDATA%\microsoft\windows\dllcache\secupd.dat
- %APPDATA%\microsoft\windows\dllcache\homepage.inf
- %APPDATA%\microsoft\windows\dllcache\camocx.dll
- %APPDATA%\microsoft\windows\dllcache\eapp3hst.dll
- %APPDATA%\microsoft\windows\dllcache\daxctle.ocx
- %APPDATA%\microsoft\windows\dllcache\mdminst.dll
- %APPDATA%\microsoft\windows\dllcache\magnify.exe
- %APPDATA%\microsoft\windows\dllcache\cliconfg.dll
- %APPDATA%\microsoft\windows\dllcache\wbcache.deu
- %APPDATA%\microsoft\windows\dllcache\mqprfsym.h
- %APPDATA%\microsoft\windows\dllcache\laprxy.dll
Удаляет следующие файлы
- C:\system volume information\efs0.log
- %APPDATA%\microsoft\windows\dllcache\cidaemon.exe
- %TEMP%\tmp1.tmp
- %TEMP%\tmp4.tmp
Подменяет следующие файлы
- %APPDATA%\microsoft\windows\dllcache\cidaemon.exe
Самоудаляется.
Сетевая активность
Подключается к
- '10#.#63.239.231':666
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
- ClassName: 'TrayNotifyWnd' WindowName: ''
- ClassName: 'NotifyIconOverflowWindow' WindowName: ''
Создает и запускает на исполнение
- '%APPDATA%\microsoft\windows\dllcache\cidaemon.exe' "<Полный путь к файлу>"
Запускает на исполнение
- '<SYSTEM32>\svchost.exe' -k netsvcs
