Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{F27237D7-93C8-44C2-AC6E-D6057B9A918F}\DownloadInformation] 'CODEBASE' = 'https://juniper.net/dana-cached/sc/JuniperSetupClient.cab'
Вредоносные функции:
Создает и запускает на исполнение:
- %APPDATA%\Juniper Networks\Setup Client\JuniperSetupClient.exe -install
- %APPDATA%\Juniper Networks\Setup Client\JuniperSetupClientOCX.exe
- %APPDATA%\Juniper Networks\Setup Client\JuniperSetupXP.exe
- %APPDATA%\Juniper Networks\setup\JuniperSetupApp.exe ""
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Juniper Networks\setup\dsmmfres_fr.dll
- %APPDATA%\Juniper Networks\setup\dsmmfres_de.dll
- %APPDATA%\Juniper Networks\setup\dsmmfres_ja.dll
- %APPDATA%\Juniper Networks\setup\dsmmfres_zh.dll
- %APPDATA%\Juniper Networks\setup\dsmmfres_ko.dll
- %APPDATA%\Juniper Networks\setup\dsmmfres_es.dll
- %APPDATA%\Juniper Networks\setup\dsmmfres_zh_cn.dll
- %APPDATA%\Juniper Networks\setup\setupResource_zh.dll
- %APPDATA%\Juniper Networks\setup\setupResource_fr.dll
- %APPDATA%\Juniper Networks\setup\setupResource_de.dll
- %APPDATA%\Juniper Networks\setup\setupResource_zh_cn.dll
- %APPDATA%\Juniper Networks\setup\dsmmf.exe
- %APPDATA%\Juniper Networks\setup\setupResource_ko.dll
- %APPDATA%\Juniper Networks\setup\setupResource_es.dll
- %WINDIR%\Downloaded Program Files\JuniperSetupClient.inf
- %WINDIR%\Downloaded Program Files\install.log
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\0797C381B2F87EB5A1D5573BD15BA4F4
- %WINDIR%\Downloaded Program Files\JuniperSetupClient.ocx
- %APPDATA%\Juniper Networks\Setup Client\JuniperSetupClient.ini
- %WINDIR%\Downloaded Program Files\JuniperSetupClientCtrlUninstaller.exe
- %WINDIR%\Downloaded Program Files\JuniperExt.exe
- %TEMP%\Juniper Networks\setup\NeoterisSetupApp.exe
- %APPDATA%\Juniper Networks\setup\uninstall.exe
- %APPDATA%\Juniper Networks\setup\versionInfo.ini
- %ALLUSERSPROFILE%\Application Data\Juniper Networks\Logging\debuglog.log
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\0797C381B2F87EB5A1D5573BD15BA4F4
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\60E31627FDA0A46932B0E5948949F2A5
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\60E31627FDA0A46932B0E5948949F2A5
- %APPDATA%\Juniper Networks\Setup Client\dsmmf.exe
- %APPDATA%\Juniper Networks\Setup Client\setupResource_ko.dll
- %APPDATA%\Juniper Networks\Setup Client\setupResource_es.dll
- %APPDATA%\Juniper Networks\Setup Client\dsmmfres_ja.dll
- %APPDATA%\Juniper Networks\Setup Client\dsmmfres_zh.dll
- %APPDATA%\Juniper Networks\Setup Client\dsmmfres_fr.dll
- %APPDATA%\Juniper Networks\Setup Client\dsmmfres_de.dll
- %APPDATA%\Juniper Networks\Setup Client\setupResource_ja.dll
- %APPDATA%\Juniper Networks\Setup Client\setupResource_en.dll
- %APPDATA%\Juniper Networks\Setup Client\JuniperSetupDLL.dll
- %APPDATA%\Juniper Networks\Setup Client\setupResource_de.dll
- %APPDATA%\Juniper Networks\Setup Client\setupResource_zh_cn.dll
- %APPDATA%\Juniper Networks\Setup Client\setupResource_zh.dll
- %APPDATA%\Juniper Networks\Setup Client\setupResource_fr.dll
- %APPDATA%\Juniper Networks\setup\JuniperSetupClient.exe
- %TEMP%\nsw2.tmp\System.dll
- %APPDATA%\Juniper Networks\Setup Client\uninstall.exe
- %APPDATA%\Juniper Networks\setup\JuniperSetupApp.exe
- %APPDATA%\Juniper Networks\setup\setupResource_ja.dll
- %APPDATA%\Juniper Networks\setup\setupResource_en.dll
- %APPDATA%\Juniper Networks\setup\JuniperSetupDLL.dll
- %APPDATA%\Juniper Networks\Setup Client\dsmmfres_ko.dll
- %APPDATA%\Juniper Networks\Setup Client\dsmmfres_es.dll
- %APPDATA%\Juniper Networks\Setup Client\dsmmfres_zh_cn.dll
- %APPDATA%\Juniper Networks\Setup Client\JuniperSetupClientOCX.exe
- %APPDATA%\Juniper Networks\Setup Client\JuniperCompMgrInstaller.exe
- %APPDATA%\Juniper Networks\Setup Client\JuniperSetupXP.exe
- %APPDATA%\Juniper Networks\Setup Client\JuniperSetupClient.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\Juniper Networks\setup\NeoterisSetupApp.exe
Сетевая активность:
Подключается к:
- 'cs#######-2-crl.verisign.com':80
- 'crl.verisign.com':80
- 'wp#d':80
TCP:
Запросы HTTP GET:
- cs#######-2-crl.verisign.com/CSC3-2009-2.crl
- crl.verisign.com/pca3.crl
- wp#d/wpad.dat
UDP:
- DNS ASK cs#######-2-crl.verisign.com
- DNS ASK crl.verisign.com
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
