Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\Swish] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\Swish] 'ImagePath' = '"%ProgramFiles(x86)%\Swish\Swish.exe" --service Swish "%PROGRAMDATA%\Beckman Coulter\Swish\Swish.log"'
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Swish" dir=in action=allow protocol=tcp program="%ProgramFiles(x86)%\Swish\Swish.exe"
Изменения в файловой системе
Создает следующие файлы
- %ProgramFiles(x86)%\swish\swish.boot
- %PROGRAMDATA%\beckman coulter\swish\log.db3
- %PROGRAMDATA%\beckman coulter\swish\log.db3-journal
- %PROGRAMDATA%\beckman coulter\swish\swish.log
- %TEMP%\nsca521.tmp\nsexec.dll
- %ProgramFiles(x86)%\swish\uninstall.exe
- %ProgramFiles(x86)%\swish\web\swish\js\query-db.js
- %ProgramFiles(x86)%\swish\web\swish\js\jquery-1.4.4.min.js
- %ProgramFiles(x86)%\swish\web\swish\js\components.js
- %ProgramFiles(x86)%\swish\web\swish\css\sub-rounded-panel-header.png
- %ProgramFiles(x86)%\swish\web\swish\css\rounded-panel-header.png
- %ProgramFiles(x86)%\swish\web\swish\css\query-db.css
- %ProgramFiles(x86)%\swish\web\swish\css\components.css
- %ProgramFiles(x86)%\swish\web\swish\css\charts.css
- %ProgramFiles(x86)%\swish\web\swish\server-log.ss
- %ProgramFiles(x86)%\swish\web\swish\reboot.ss
- %ProgramFiles(x86)%\swish\web\swish\query.ss
- %ProgramFiles(x86)%\swish\web\swish\query-db.ss
- %ProgramFiles(x86)%\swish\web\swish\index.ss
- %ProgramFiles(x86)%\swish\web\swish\errors.ss
- %ProgramFiles(x86)%\swish\web\swish\debug.ss
- %ProgramFiles(x86)%\swish\web\swish\components.ss
- %ProgramFiles(x86)%\swish\web\swish\charts.ss
- %ProgramFiles(x86)%\swish\web\mime-types
- %ProgramFiles(x86)%\swish\web\index.ss
- %ProgramFiles(x86)%\swish\web\favicon.ico
- %ProgramFiles(x86)%\swish\swish.so
- %ProgramFiles(x86)%\swish\swish.exe
- %PROGRAMDATA%\beckman coulter\swish\log.db3-shm
- %PROGRAMDATA%\beckman coulter\swish\log.db3-wal
Удаляет следующие файлы
- %PROGRAMDATA%\beckman coulter\swish\log.db3-journal
Другое
Ищет следующие окна
- ClassName: '#32770' WindowName: ''
- ClassName: 'SysListView32' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\swish\swish.exe' --service Swish "%PROGRAMDATA%\Beckman Coulter\Swish\Swish.log"
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Swish" dir=in action=allow protocol=tcp program="%ProgramFiles(x86)%\Swish\Swish.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' create Swish start= auto binpath= "\"%ProgramFiles(x86)%\Swish\Swish.exe\" --service Swish \"%PROGRAMDATA%\Beckman Coulter\Swish\Swish.log\"" depend= tcpip DisplayName= "Swish"' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' description Swish "Swish v1.0.0.0"' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' failure Swish actions= restart/10000/restart/10000/restart/10000 reset= 86400' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' start Swish' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\sc.exe' create Swish start= auto binpath= "\"%ProgramFiles(x86)%\Swish\Swish.exe\" --service Swish \"%PROGRAMDATA%\Beckman Coulter\Swish\Swish.log\"" depend= tcpip DisplayName= "Swish"
- '%WINDIR%\syswow64\sc.exe' description Swish "Swish v1.0.0.0"
- '%WINDIR%\syswow64\sc.exe' failure Swish actions= restart/10000/restart/10000/restart/10000 reset= 86400
- '%WINDIR%\syswow64\sc.exe' start Swish
