Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\EracentEPAService] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\EracentEPAService] 'ImagePath' = '"c:\Eracent.epa\EPA\EracentEPAService.exe"'
- [<HKLM>\System\CurrentControlSet\Services\EracentEPMService] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\EracentEPMService] 'ImagePath' = '"c:\Eracent.epa\EPM\EracentEPMService.exe"'
- [<HKLM>\System\CurrentControlSet\Services\EPMProcMon] 'ImagePath' = 'system32\DRIVERS\epmprocmon.sys'
- [<HKLM>\System\CurrentControlSet\Services\EPMWAMon] 'ImagePath' = 'system32\DRIVERS\epmwamon.sys'
Вредоносные функции
Устанавливает процедуры перхвата сообщений
о нажатии клавиш клавиатуры:
- Библиотека-обработчик для всех процессов: c:\Eracent.epa\EPM\EracentEPMHookLib_10.2.24.0.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmp4307.tmp\instruction
- %TEMP%\tmp45b8.tmp\data\epm\eracentepmhooklib64_v9.dll
- %TEMP%\tmp45b8.tmp\data\epm\eracentepmhooklib_v9.dll
- %TEMP%\tmp45b8.tmp\data\epm\eracentepmservice.exe
- %TEMP%\tmp45b8.tmp\data\epm\eracentepmservice64.exe
- %TEMP%\tmp45b8.tmp\data\epm\keys\cmp.der
- %TEMP%\tmp45b8.tmp\launch.cmd
- %TEMP%\tmp885f.tmp\out
- %TEMP%\tmp885f.tmp\err
- %TEMP%\tmp8ec9.tmp\out
- C:\eracent.epa\epa\eracentepaservice.pid
- %TEMP%\tmp45b8.tmp\data\epa\luts\t_auditext
- C:\eracent.epa\epa\logs\cservicemodule\20191105.logfile
- %TEMP%\tmp8ec9.tmp\err
- C:\eracent.epa\epm\eracentepmservice.pid
- C:\eracent.epa\epm\logs\cservicemodule\20191105.logfile
- C:\eracent.epa\epm\conf\config.ini
- C:\eracent.epa\epm\conf\epmrestartid.dat
- C:\eracent.epa\duis.ini
- <DRIVERS>\setaced.tmp
- <DRIVERS>\setad6b.tmp
- %WINDIR%\temp\uddb181.tmp
- %WINDIR%\temp\uddb191.tmp
- %TEMP%\tmp45b8.tmp\data\epm\epmwamon.sys
- %TEMP%\tmp45b8.tmp\data\epm\epmwamon64.sys
- %TEMP%\tmp45b8.tmp\data\epm\epmwamon.inf
- %TEMP%\tmp45b8.tmp\data\epm\epmprocmon_w2k.sys
- %TEMP%\tmp45b8.tmp\data\epm\epmprocmon64.sys
- %TEMP%\tmp45b8.tmp\descriptor.esap
- %TEMP%\tmp45b8.tmp\post.cmd
- %TEMP%\tmp45b8.tmp\pre.cmd
- %TEMP%\tmp45b8.tmp\data\epa\conf\config.ini
- %TEMP%\tmp45b8.tmp\data\epa\conf\configspec.html
- %TEMP%\tmp45b8.tmp\data\epa\conf\scannerconfig.xml
- %TEMP%\tmp45b8.tmp\data\epa\edhelper.exe
- %TEMP%\tmp45b8.tmp\data\epa\epaui.exe
- %TEMP%\tmp45b8.tmp\data\epa\eracentepaservice.exe
- %TEMP%\tmp45b8.tmp\data\epa\eracentepaservice64.exe
- C:\eracent.epa\epm\data\0_0.dat
- C:\eracent.epa\epa\conf\config.ini
- %TEMP%\tmp45b8.tmp\data\epa\keys\cmp.der
- %TEMP%\tmp45b8.tmp\data\epm\conf\config.ini
- %TEMP%\tmp45b8.tmp\data\epm\conf\configspec.html
- %TEMP%\tmp45b8.tmp\data\epm\edhelper.exe
- %TEMP%\tmp45b8.tmp\data\epm\edhelper64.exe
- %TEMP%\tmp45b8.tmp\data\epm\epm.exe
- %TEMP%\tmp45b8.tmp\data\epm\epm64.exe
- %TEMP%\tmp45b8.tmp\data\epm\epmprocmon.cat
- %TEMP%\tmp45b8.tmp\data\epm\epmprocmon.inf
- %TEMP%\tmp45b8.tmp\data\epm\epmprocmon.sys
- %TEMP%\tmp45b8.tmp\data\epm\epmprocmon64.cat
- %TEMP%\tmp4307.tmp\multi_6.enc
- %TEMP%\tmp45b8.tmp\data\epa\oraqry\q_lms_oracle
- C:\eracent.epa\epm\data\1_0.dat
Удаляет следующие файлы
- %TEMP%\tmp4307.tmp\multi_6.enc
- %TEMP%\tmp45b8.tmp\post.cmd
- %TEMP%\tmp45b8.tmp\launch.cmd
- %TEMP%\tmp45b8.tmp\descriptor.esap
- %TEMP%\tmp8ec9.tmp\out
- %TEMP%\tmp8ec9.tmp\err
- %WINDIR%\temp\uddb191.tmp
- %WINDIR%\temp\uddb181.tmp
- C:\eracent.epa\epm\edhelper64.exe
- C:\eracent.epa\epm\edhelper.exe
- C:\eracent.epa\epm\eracentepmhooklib_v9.dll
- C:\eracent.epa\epm\epm.exe
- C:\eracent.epa\epm\eracentepmservice.exe
- C:\eracent.epa\epm\epmwamon.sys
- C:\eracent.epa\epm\epmprocmon.cat
- C:\eracent.epa\epm\epmprocmon.sys
- C:\eracent.epa\epa\edhelper.exe
- C:\eracent.epa\epa\eracentepaservice.exe
- %TEMP%\tmp885f.tmp\out
- %TEMP%\tmp885f.tmp\err
- %TEMP%\tmp45b8.tmp\pre.cmd
- %TEMP%\tmp4307.tmp\instruction
Перемещает следующие файлы
- %TEMP%\tmp45b8.tmp\data\epa\conf\config.ini в C:\eracent.epa\epa\conf\config.ini
- C:\eracent.epa\epm\eracentepmhooklib_v9.dll в C:\eracent.epa\epm\eracentepmhooklib_10.2.24.0.dll
- %TEMP%\tmp45b8.tmp\data\epm\keys\cmp.der в C:\eracent.epa\epm\keys\cmp.der
- %TEMP%\tmp45b8.tmp\data\epm\eracentepmservice64.exe в C:\eracent.epa\epm\eracentepmservice64.exe
- %TEMP%\tmp45b8.tmp\data\epm\eracentepmservice.exe в C:\eracent.epa\epm\eracentepmservice.exe
- %TEMP%\tmp45b8.tmp\data\epm\eracentepmhooklib_v9.dll в C:\eracent.epa\epm\eracentepmhooklib_v9.dll
- %TEMP%\tmp45b8.tmp\data\epm\eracentepmhooklib64_v9.dll в C:\eracent.epa\epm\eracentepmhooklib64_v9.dll
- %TEMP%\tmp45b8.tmp\data\epm\epmwamon64.sys в C:\eracent.epa\epm\epmwamon64.sys
- %TEMP%\tmp45b8.tmp\data\epm\epmwamon.sys в C:\eracent.epa\epm\epmwamon.sys
- %TEMP%\tmp45b8.tmp\data\epm\epmwamon.inf в C:\eracent.epa\epm\epmwamon.inf
- %TEMP%\tmp45b8.tmp\data\epm\epmprocmon_w2k.sys в C:\eracent.epa\epm\epmprocmon_w2k.sys
- %TEMP%\tmp45b8.tmp\data\epm\epmprocmon64.sys в C:\eracent.epa\epm\epmprocmon64.sys
- %TEMP%\tmp45b8.tmp\data\epm\epmprocmon64.cat в C:\eracent.epa\epm\epmprocmon64.cat
- %TEMP%\tmp45b8.tmp\data\epm\epmprocmon.sys в C:\eracent.epa\epm\epmprocmon.sys
- %TEMP%\tmp45b8.tmp\data\epm\epmprocmon.inf в C:\eracent.epa\epm\epmprocmon.inf
- <DRIVERS>\setaced.tmp в <DRIVERS>\epmprocmon.sys
- %TEMP%\tmp45b8.tmp\data\epm\epmprocmon.cat в C:\eracent.epa\epm\epmprocmon.cat
- %TEMP%\tmp45b8.tmp\data\epm\epm.exe в C:\eracent.epa\epm\epm.exe
- %TEMP%\tmp45b8.tmp\data\epm\edhelper64.exe в C:\eracent.epa\epm\edhelper64.exe
- %TEMP%\tmp45b8.tmp\data\epm\edhelper.exe в C:\eracent.epa\epm\edhelper.exe
- %TEMP%\tmp45b8.tmp\data\epm\conf\configspec.html в C:\eracent.epa\epm\conf\configspec.html
- %TEMP%\tmp45b8.tmp\data\epm\conf\config.ini в C:\eracent.epa\epm\conf\config.ini
- %TEMP%\tmp45b8.tmp\data\epa\oraqry\q_lms_oracle в C:\eracent.epa\epa\oraqry\q_lms_oracle
- %TEMP%\tmp45b8.tmp\data\epa\luts\t_auditext в C:\eracent.epa\epa\luts\t_auditext
- %TEMP%\tmp45b8.tmp\data\epa\keys\cmp.der в C:\eracent.epa\epa\keys\cmp.der
- %TEMP%\tmp45b8.tmp\data\epa\eracentepaservice64.exe в C:\eracent.epa\epa\eracentepaservice64.exe
- %TEMP%\tmp45b8.tmp\data\epa\eracentepaservice.exe в C:\eracent.epa\epa\eracentepaservice.exe
- %TEMP%\tmp45b8.tmp\data\epa\epaui.exe в C:\eracent.epa\epa\epaui.exe
- %TEMP%\tmp45b8.tmp\data\epa\edhelper.exe в C:\eracent.epa\epa\edhelper.exe
- %TEMP%\tmp45b8.tmp\data\epa\conf\scannerconfig.xml в C:\eracent.epa\epa\conf\scannerconfig.xml
- %TEMP%\tmp45b8.tmp\data\epa\conf\configspec.html в C:\eracent.epa\epa\conf\configspec.html
- %TEMP%\tmp45b8.tmp\data\epm\epm64.exe в C:\eracent.epa\epm\epm64.exe
- <DRIVERS>\setad6b.tmp в <DRIVERS>\epmwamon.sys
Подменяет следующие файлы
- C:\eracent.epa\epa\eracentepaservice.exe
- C:\eracent.epa\epm\epmprocmon.sys
- C:\eracent.epa\epm\epmprocmon.cat
- C:\eracent.epa\epm\epmwamon.sys
- C:\eracent.epa\epm\eracentepmservice.exe
- C:\eracent.epa\epm\epm.exe
- C:\eracent.epa\epm\eracentepmhooklib_v9.dll
Сетевая активность
UDP
- '<DNS_SERVER>':53
- '255.255.255.255':9035
- '255.255.255.255':9036
Другое
Создает и запускает на исполнение
- '%TEMP%\tmp45b8.tmp\data\epa\edhelper.exe' service stop EracentEPAService 7200
- '%TEMP%\tmp45b8.tmp\data\epa\edhelper.exe' service stop EracentARPC 120
- '%TEMP%\tmp45b8.tmp\data\epm\edhelper.exe' service stop EracentEPMService 7200
- '%TEMP%\tmp45b8.tmp\data\epm\edhelper.exe' service stop EPMService 120
- 'C:\eracent.epa\epa\eracentepaservice.exe' /UnregServer
- 'C:\eracent.epa\epa\eracentepaservice.exe' /Service
- 'C:\eracent.epa\epa\eracentepaservice.exe'
- 'C:\eracent.epa\epm\edhelper.exe' acl everyone+rx "c:\Eracent.epa\EPM\EracentEPMHookLib_v9.dll"
- 'C:\eracent.epa\epm\edhelper.exe' addversion "c:\Eracent.epa\EPM\EracentEPMHookLib_v9.dll" "c:\Eracent.epa\EPM\EracentEPMHookLib.dll"
- 'C:\eracent.epa\epm\eracentepmservice.exe' /UnregServer
- 'C:\eracent.epa\epm\eracentepmservice.exe' /Service
- 'C:\eracent.epa\epm\eracentepmservice.exe'
- 'C:\eracent.epa\epm\epm.exe'
- 'C:\eracent.epa\epm\epm.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c launch.cmd 2>>"%TEMP%\tmp885F.tmp\err" 1>>"%TEMP%\tmp885F.tmp\out"
- '%WINDIR%\syswow64\cmd.exe' /c launch.cmd 2>>"%TEMP%\tmp8EC9.tmp\err" 1>>"%TEMP%\tmp8EC9.tmp\out"
- '%WINDIR%\syswow64\net.exe' start EracentEPAService
- '%WINDIR%\syswow64\net1.exe' start EracentEPAService
- '%WINDIR%\syswow64\net.exe' start EracentEPMService
- '%WINDIR%\syswow64\net1.exe' start EracentEPMService
