Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\{4aa7ec97-2a2c-4ccd-980f-071d4e7f19a8}
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\NativeDesktopMediaService] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\NativeDesktopMediaService] 'ImagePath' = '"%ProgramFiles%\Jetmedia\NativeDesktopMediaService\desktop_media_service.exe" --service'
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\jetmedia\nativedesktopmediaservice 3.6.0\install\decoder.dll
- %APPDATA%\jetmedia\nativedesktopmediaservice 3.6.0\install\2cf5f20\networkdesktopmedia.msi
- %TEMP%\msia4be.tmp
- %TEMP%\msia9d5.tmp
- %TEMP%\2d06c35019e2c419e474.msiaf1d.tmp
- %APPDATA%\jetmedia\nativedesktopmediaservice 3.6.0\install\2cf5f20\desktop_media_service.exe
- %APPDATA%\jetmedia\nativedesktopmediaservice 3.6.0\install\2cf5f20\watchdog.exe
- %APPDATA%\jetmedia\nativedesktopmediaservice 3.6.0\install\2cf5f20\commonappdatafolder\jetmedia\nativedesktopmediaservice\comdata.dat
- %ProgramFiles%\jetmedia\nativedesktopmediaservice\desktop_media_service.exe
- %ProgramFiles%\jetmedia\nativedesktopmediaservice\watchdog.exe
- %PROGRAMDATA%\jetmedia\nativedesktopmediaservice\comdata.dat
Удаляет следующие файлы
- %TEMP%\msia4be.tmp
- %TEMP%\msia9d5.tmp
- %APPDATA%\jetmedia\nativedesktopmediaservice 3.6.0\install\decoder.dll
- %APPDATA%\jetmedia\nativedesktopmediaservice 3.6.0\install\2cf5f20\commonappdatafolder\jetmedia\nativedesktopmediaservice\comdata.dat
- %APPDATA%\jetmedia\nativedesktopmediaservice 3.6.0\install\2cf5f20\desktop_media_service.exe
- %APPDATA%\jetmedia\nativedesktopmediaservice 3.6.0\install\2cf5f20\networkdesktopmedia.msi
- %APPDATA%\jetmedia\nativedesktopmediaservice 3.6.0\install\2cf5f20\watchdog.exe
Сетевая активность
TCP
Запросы HTTP GET
- http://ip###i.com:80/json
- http://xf###nst.com/npcomdata.dat
Запросы HTTP POST
- http://tm#.####tincoandhar.info/
- http://mr##wic.com/tickets
- http://ss#.####tincoandhar.info/
- http://mr####c.com:40000/tickets
- http://xt###est.com/tickets
- http://yl##est.com/tickets
- http://in##.###ntincoandhar.info/
- http://sc#.####tincoandhar.info/
UDP
- DNS ASK tm#.####tincoandhar.info
- DNS ASK mr##wic.com
- DNS ASK in##.###ntincoandhar.info
- DNS ASK ip##pi.com
- DNS ASK ex##ple.com
- DNS ASK sc#.####tincoandhar.info
- DNS ASK ss#.####tincoandhar.info
- DNS ASK xt###est.com
- DNS ASK xf###nst.com
- DNS ASK yl##est.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\installer\msiaf1d.tmp' /p="<Полный путь к файлу>" /p="%APPDATA%\Jetmedia\NativeDesktopMediaService 3.6.0\install\2CF5F20\NetworkDesktopMedia.msi" /p="%ProgramFiles%\Jetmedia\NativeDesktopMediaService" /p="" /p=""
- '%TEMP%\2d06c35019e2c419e474.msiaf1d.tmp' $$xfDT-ViyxlqCdQlfZRvVJblqb1yLTWpSTg0XCTfbMo6usOAZ1nyqC-WlI2ZIMxnK0HdJhP42wHQetdPTs7r2GvIXQR4IHziABvGUuUAf_Y5GKCHJH6bBBcIU9yhYgwbUiHevnz88dbhhO6sx0LAqXpgqL8YossPuIH2scSFn7JBtCV2Os73fo7Njpaemg0g...
- '%ProgramFiles%\jetmedia\nativedesktopmediaservice\desktop_media_service.exe' --service
Запускает на исполнение
- '<SYSTEM32>\msiexec.exe' /V
- '<SYSTEM32>\msiexec.exe' -Embedding 0E6E33C7158CC42286201CD5D481C163 C
- '<SYSTEM32>\msiexec.exe' /i "%APPDATA%\Jetmedia\NativeDesktopMediaService 3.6.0\install\2CF5F20\NetworkDesktopMedia.msi" AI_SETUPEXEPATH=<Полный путь к файлу> SETUPEXEDIR=<Текущая директория>\ EXE_CMD_LINE="/exenoupdat...
- '<SYSTEM32>\msiexec.exe' -Embedding B64ACE31DC290093D0F51DFCDFB1DF03
- '<SYSTEM32>\msiexec.exe' -Embedding DD91F3212756C8DF23B6BA2E8681711B M Global\MSI0000
