Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'Adobe_Reader' = '%ProgramFiles(x86)%\Adobe\acrotray.exe'
Создает или изменяет следующие файлы
- %WINDIR%\tasks\at1.job
- <SYSTEM32>\tasks\at14
- %WINDIR%\tasks\at15.job
- <SYSTEM32>\tasks\at15
- %WINDIR%\tasks\at16.job
- <SYSTEM32>\tasks\at16
- %WINDIR%\tasks\at17.job
- <SYSTEM32>\tasks\at17
- %WINDIR%\tasks\at18.job
- <SYSTEM32>\tasks\at13
- %WINDIR%\tasks\at14.job
- <SYSTEM32>\tasks\at18
- %WINDIR%\tasks\at20.job
- <SYSTEM32>\tasks\at20
- %WINDIR%\tasks\at21.job
- <SYSTEM32>\tasks\at21
- %WINDIR%\tasks\at22.job
- <SYSTEM32>\tasks\at22
- %WINDIR%\tasks\at23.job
- <SYSTEM32>\tasks\at23
- %WINDIR%\tasks\at19.job
- <SYSTEM32>\tasks\at19
- %WINDIR%\tasks\at13.job
- <SYSTEM32>\tasks\at12
- %WINDIR%\tasks\at12.job
- %WINDIR%\tasks\at2.job
- <SYSTEM32>\tasks\at2
- %WINDIR%\tasks\at3.job
- <SYSTEM32>\tasks\at3
- %WINDIR%\tasks\at4.job
- <SYSTEM32>\tasks\at4
- %WINDIR%\tasks\at5.job
- <SYSTEM32>\tasks\at5
- %WINDIR%\tasks\at6.job
- <SYSTEM32>\tasks\at1
- <SYSTEM32>\tasks\at6
- <SYSTEM32>\tasks\at7
- %WINDIR%\tasks\at8.job
- <SYSTEM32>\tasks\at8
- %WINDIR%\tasks\at9.job
- <SYSTEM32>\tasks\at9
- %WINDIR%\tasks\at10.job
- <SYSTEM32>\tasks\at10
- %WINDIR%\tasks\at11.job
- <SYSTEM32>\tasks\at11
- %WINDIR%\tasks\at7.job
- %WINDIR%\tasks\at24.job
- <SYSTEM32>\tasks\at24
Вредоносные функции
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
Изменения в файловой системе
Создает следующие файлы
- %ProgramFiles(x86)%\adobe\acrotray .exe
- %ProgramFiles(x86)%\adobe\acrotray.exe
Сетевая активность
TCP
Запросы HTTP GET
- http://ww##.##gawebfind.com/search.php?q=############################################################################################
- http://ww##.##gawebfind.com/?td######################################################################################################################
UDP
- DNS ASK ww##.##gawebfind.com
- DNS ASK google.com
- DNS ASK d1#######6pmug.cloudfront.net
Другое
Ищет следующие окна
- ClassName: '18467-41' WindowName: ''
- ClassName: 'Static' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\adobe\acrotray.exe' <Полный путь к файлу>"
- '%ProgramFiles(x86)%\adobe\acrotray.exe' %ProgramFiles(x86)%\Adobe\acrotray.exe" <Полный путь к файлу>"
- '%ProgramFiles(x86)%\adobe\acrotray .exe' %ProgramFiles(x86)%\Adobe\acrotray.exe" <Полный путь к файлу>"
- '%ProgramFiles(x86)%\adobe\acrotray .exe' %ProgramFiles(x86)%\Adobe\acrotray .exe" %ProgramFiles(x86)%\Adobe\acrotray.exe" <Полный путь к файлу>"
- '<Полный путь к файлу>' <Полный путь к файлу>"' (со скрытым окном)
- '%ProgramFiles(x86)%\adobe\acrotray.exe' <Полный путь к файлу>"' (со скрытым окном)
- '%ProgramFiles(x86)%\adobe\acrotray.exe' %ProgramFiles(x86)%\Adobe\acrotray.exe" <Полный путь к файлу>"' (со скрытым окном)
- '%ProgramFiles(x86)%\adobe\acrotray .exe' %ProgramFiles(x86)%\Adobe\acrotray.exe" <Полный путь к файлу>"' (со скрытым окном)
- '%ProgramFiles(x86)%\adobe\acrotray .exe' %ProgramFiles(x86)%\Adobe\acrotray .exe" %ProgramFiles(x86)%\Adobe\acrotray.exe" <Полный путь к файлу>"' (со скрытым окном)
