Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\System\CurrentControlSet\Control\Print\Monitors\Pharos Systems Popup Port Monitor] 'Driver' = 'PSR35018.DLL'
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\Pharos Systems ComTaskMaster] 'ImagePath' = '"%ProgramFiles%\pharos\Core\CTskMstr.exe"'
- [<HKLM>\System\CurrentControlSet\Services\Pharos Systems ComTaskMaster] 'Start' = '00000002'
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Pharos Com Task Master" dir=in program="%ProgramFiles(x86)%\PharosSystems\Core\CTskMstr.exe" action=allow
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\glc2f02.tmp
- %ProgramFiles(x86)%\pharossystems\core\~glh0022.tmp
- %ProgramFiles(x86)%\pharossystems\core\~glh0020.tmp
- <Текущая директория>\~glh001f.tmp
- %ProgramFiles(x86)%\pharossystems\core\ctskmstr.exe.config
- %TEMP%\rgia23e.tmp
- <SYSTEM32>\psr35018.dll
- %WINDIR%\syswow64\~glh001d.tmp
- %WINDIR%\syswow64\temp.000
- %WINDIR%\syswow64\~glh001b.tmp
- %ProgramFiles(x86)%\pharos\bin\~glh0019.tmp
- %ProgramFiles(x86)%\pharos\bin\~glh0017.tmp
- %ProgramFiles(x86)%\pharossystems\core\~glh0015.tmp
- %ProgramFiles(x86)%\pharossystems\core\~glh0013.tmp
- %ProgramFiles(x86)%\pharossystems\core\~glh0011.tmp
- %ProgramFiles(x86)%\pharos\bin\~glh0010.tmp
- %ProgramFiles(x86)%\pharos\bin\~glh000e.tmp
- %ProgramFiles(x86)%\pharos\bin\~glh000c.tmp
- %ProgramFiles(x86)%\pharos\bin\~glh000a.tmp
- %ProgramFiles(x86)%\pharos\bin\~glh0009.tmp
- %ProgramFiles(x86)%\pharos\bin\~glh0007.tmp
- %ProgramFiles(x86)%\pharossystems\core\~glh0006.tmp
- %ProgramFiles%\pharos\core\temp.000
- %ProgramFiles(x86)%\pharossystems\core\~glh0004.tmp
- %ProgramFiles(x86)%\pharossystems\core\~glh0003.tmp
- %ProgramFiles%\pharos\bin\temp.000
- %ProgramFiles(x86)%\pharos\bin\~glh0001.tmp
- <Текущая директория>\~glh0000.tmp
- %TEMP%\gli3aec.tmp
- %TEMP%\glj2f13.tmp
- <Текущая директория>\result.txt
- <Текущая директория>\pslog.txt
Удаляет следующие файлы
- %ProgramFiles(x86)%\pharos\bin\~glh0001.tmp
- %TEMP%\gli3aec.tmp
- %ProgramFiles(x86)%\pharossystems\core\crinsthelper.dll
- %ProgramFiles(x86)%\pharossystems\core\~glh0020.tmp
- <Текущая директория>\psinst32.dll
- %TEMP%\rgia23e.tmp
- %WINDIR%\syswow64\~glh001d.tmp
- %WINDIR%\syswow64\~glh001b.tmp
- %ProgramFiles(x86)%\pharos\bin\~glh0019.tmp
- %ProgramFiles(x86)%\pharos\bin\~glh0017.tmp
- %ProgramFiles(x86)%\pharossystems\core\~glh0015.tmp
- %ProgramFiles(x86)%\pharossystems\core\~glh0013.tmp
- %ProgramFiles(x86)%\pharossystems\core\~glh0011.tmp
- %ProgramFiles(x86)%\pharos\bin\~glh000e.tmp
- %ProgramFiles(x86)%\pharos\bin\~glh000c.tmp
- %ProgramFiles(x86)%\pharos\bin\~glh000a.tmp
- %ProgramFiles(x86)%\pharos\bin\~glh0007.tmp
- %ProgramFiles(x86)%\pharossystems\core\~glh0004.tmp
- %TEMP%\glj2f13.tmp
- %TEMP%\glc2f02.tmp
Перемещает следующие файлы
- <Текущая директория>\~glh0000.tmp в <Текущая директория>\psinst32.dll
- %WINDIR%\syswow64\~glh001e.tmp в %WINDIR%\syswow64\msxml4r.dll
- %WINDIR%\syswow64\temp.000 в %WINDIR%\syswow64\~glh001e.tmp
- %WINDIR%\syswow64\~glh001c.tmp в %WINDIR%\syswow64\msxml4.dll
- %WINDIR%\syswow64\temp.000 в %WINDIR%\syswow64\~glh001c.tmp
- %ProgramFiles%\pharos\bin\~glh001a.tmp в %ProgramFiles%\pharos\bin\roututil.dll
- %ProgramFiles%\pharos\bin\temp.000 в %ProgramFiles%\pharos\bin\~glh001a.tmp
- %ProgramFiles%\pharos\bin\~glh0018.tmp в %ProgramFiles%\pharos\bin\router.dll
- %ProgramFiles%\pharos\bin\temp.000 в %ProgramFiles%\pharos\bin\~glh0018.tmp
- %ProgramFiles%\pharos\core\~glh0016.tmp в %ProgramFiles%\pharos\core\prntrack.dll
- %ProgramFiles%\pharos\core\temp.000 в %ProgramFiles%\pharos\core\~glh0016.tmp
- %ProgramFiles%\pharos\core\~glh0014.tmp в %ProgramFiles%\pharos\core\apptrack.dll
- %ProgramFiles%\pharos\core\temp.000 в %ProgramFiles%\pharos\core\~glh0014.tmp
- %ProgramFiles%\pharos\core\~glh0012.tmp в %ProgramFiles%\pharos\core\omattask.dll
- %ProgramFiles%\pharos\core\temp.000 в %ProgramFiles%\pharos\core\~glh0012.tmp
- %ProgramFiles%\pharos\core\temp.000 в %ProgramFiles%\pharos\core\~glh0021.tmp
- %ProgramFiles(x86)%\pharos\bin\~glh0010.tmp в %ProgramFiles(x86)%\pharos\bin\popups.chm
- %ProgramFiles%\pharos\bin\temp.000 в %ProgramFiles%\pharos\bin\~glh000f.tmp
- %ProgramFiles%\pharos\bin\~glh000d.tmp в %ProgramFiles%\pharos\bin\imanagedms.dll
- %ProgramFiles%\pharos\bin\temp.000 в %ProgramFiles%\pharos\bin\~glh000d.tmp
- %ProgramFiles%\pharos\bin\~glh000b.tmp в %ProgramFiles%\pharos\bin\popnet.exe
- %ProgramFiles%\pharos\bin\temp.000 в %ProgramFiles%\pharos\bin\~glh000b.tmp
- %ProgramFiles(x86)%\pharos\bin\~glh0009.tmp в %ProgramFiles(x86)%\pharos\bin\popupcli.lan
- %ProgramFiles%\pharos\bin\~glh0008.tmp в %ProgramFiles%\pharos\bin\popupcli.exe
- %ProgramFiles%\pharos\bin\temp.000 в %ProgramFiles%\pharos\bin\~glh0008.tmp
- %ProgramFiles(x86)%\pharossystems\core\~glh0006.tmp в %ProgramFiles(x86)%\pharossystems\core\ctskmstr.exe.config
- %ProgramFiles%\pharos\core\~glh0005.tmp в %ProgramFiles%\pharos\core\ctskmstr.exe
- %ProgramFiles%\pharos\core\temp.000 в %ProgramFiles%\pharos\core\~glh0005.tmp
- %ProgramFiles(x86)%\pharossystems\core\~glh0003.tmp в %ProgramFiles(x86)%\pharossystems\core\crinsthelper.dll
- %ProgramFiles%\pharos\bin\~glh0002.tmp в %ProgramFiles%\pharos\bin\psdbinst.dll
- %ProgramFiles%\pharos\bin\temp.000 в %ProgramFiles%\pharos\bin\~glh0002.tmp
- %ProgramFiles%\pharos\bin\~glh000f.tmp в %ProgramFiles%\pharos\bin\hummingbirddms.dll
- %ProgramFiles%\pharos\core\~glh0021.tmp в %ProgramFiles%\pharos\core\notifytask.dll
Подменяет следующие файлы
- %ProgramFiles%\pharos\bin\temp.000
- %ProgramFiles%\pharos\core\temp.000
- %WINDIR%\syswow64\temp.000
- %ProgramFiles(x86)%\pharossystems\core\crinsthelper.dll
Другое
Ищет следующие окна
- ClassName: 'MS_WINHELP' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles%\pharos\core\ctskmstr.exe' -service
- '%TEMP%\glj2f13.tmp' %ProgramFiles(x86)%\PharosSystems\Core\OMATTask.dll
- '%TEMP%\glj2f13.tmp' <SYSTEM32>\msxml4.dll
- '%ProgramFiles%\pharos\core\ctskmstr.exe'
- '%ProgramFiles%\pharos\core\ctskmstr.exe' -service' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c "%ProgramFiles(x86)%\Pharos\Bin\popupcli.exe" /regserver' (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' "%ProgramFiles(x86)%\Pharos\BIN\RoutUtil.dll",Exec Install' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c regsvr32 /s NotifyTask.dll' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' firewall' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name="Pharos Com Task Master"' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Pharos Com Task Master" dir=in program="%ProgramFiles(x86)%\PharosSystems\Core\CTskMstr.exe" action=allow' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c "%ProgramFiles(x86)%\Pharos\Bin\popupcli.exe" /regserver
- '%WINDIR%\syswow64\rundll32.exe' "%ProgramFiles(x86)%\Pharos\BIN\RoutUtil.dll",Exec Install
- '<SYSTEM32>\rundll32.exe' "%ProgramFiles(x86)%\Pharos\BIN\RoutUtil.dll",Exec Install
- '%WINDIR%\syswow64\cmd.exe' /c regsvr32 /s NotifyTask.dll
- '%WINDIR%\syswow64\regsvr32.exe' /s NotifyTask.dll
- '%WINDIR%\syswow64\netsh.exe' firewall
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name="Pharos Com Task Master"
