Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad] 'MTUchk' = '{3451BFC8-AD30-4ADD-8E16-0FF038F28BA9}'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'UserFaultCheck' = ''
- [<HKLM>\SYSTEM\ControlSet001\Control\Print\Providers\vl] 'Name' = '%APPDATA%\Catalyst\CatalystHelper.dll'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad] 'MTUchk' = '{C37A491B-99DD-476C-BAC3-ECC7B2779068}'
Вредоносные функции:
Запускает на исполнение:
- %WINDIR%\explorer.exe
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
- <SYSTEM32>\spoolsv.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Catalyst\freebl3.dll
- %APPDATA%\Catalyst\IA2Marshal.dll
- %APPDATA%\Catalyst\browsercomps.dll
- %APPDATA%\Catalyst\wab32res.dll
- %APPDATA%\Catalyst\AccessibleMarshal.dll
- %APPDATA%\Catalyst\nspr4.dll
- %APPDATA%\Catalyst\nss3.dll
- %APPDATA%\Catalyst\mozsqlite3.dll
- %APPDATA%\Catalyst\mozalloc.dll
- %APPDATA%\Catalyst\mozjs.dll
- %APPDATA%\Catalyst\wab32.dll
- %APPDATA%\Catalyst\msdatt.dll
- %APPDATA%\Catalyst\msdaurl.dll
- %APPDATA%\Catalyst\msdatl3.dll
- %APPDATA%\Catalyst\msdasql.dll
- %APPDATA%\Catalyst\msdasqlr.dll
- %APPDATA%\Catalyst\sqloledb.dll
- %APPDATA%\Catalyst\sqlxmlx.dll
- %APPDATA%\Catalyst\oledb32r.dll
- %APPDATA%\Catalyst\msxactps.dll
- %APPDATA%\Catalyst\oledb32.dll
- %APPDATA%\Catalyst\nssckbi.dll
- %APPDATA%\Catalyst\PresentationBuildTasks.dll
- %APPDATA%\Catalyst\Microsoft.Build.Conversion.v3.5.dll
- %APPDATA%\Catalyst\bckg.dll
- %APPDATA%\Catalyst\icwhelp.dll
- %APPDATA%\Catalyst\custsat.dll
- %WINDIR%\pchealth\ERRORREP\UserDumps\spoolsv.exe.20120925-030624-00.mdmp
- %WINDIR%\pchealth\ERRORREP\UserDumps\spoolsv.exe.20120925-030624-00.hdmp
- %APPDATA%\wmierr.log
- %APPDATA%\Catalyst\CatalystHelper.dll
- C:\spoolerlogs\spooler.xml
- %APPDATA%\Catalyst\icwdl.dll
- %APPDATA%\Catalyst\plds4.dll
- %APPDATA%\Catalyst\smime3.dll
- %APPDATA%\Catalyst\plc4.dll
- %APPDATA%\Catalyst\nssdbm3.dll
- %APPDATA%\Catalyst\nssutil3.dll
- %APPDATA%\Catalyst\xul.dll
- %APPDATA%\Catalyst\icwconn.dll
- %APPDATA%\Catalyst\xpcom.dll
- %APPDATA%\Catalyst\softokn3.dll
- %APPDATA%\Catalyst\ssl3.dll
- %APPDATA%\Catalyst\msdasc.dll
- %APPDATA%\Catalyst\msader15.dll
- %APPDATA%\Catalyst\msado15.dll
- %APPDATA%\Catalyst\spttseng.dll
- %APPDATA%\Catalyst\wisc10.dll
- %APPDATA%\Catalyst\spcommon.dll
- %APPDATA%\Catalyst\msadrh15.dll
- %APPDATA%\Catalyst\msjro.dll
- %APPDATA%\Catalyst\msadox.dll
- %APPDATA%\Catalyst\msadomd.dll
- %APPDATA%\Catalyst\msador15.dll
- %APPDATA%\Catalyst\mssoapr.dll
- %APPDATA%\Catalyst\msconv97.dll
- %APPDATA%\Catalyst\msdia100.dll
- %APPDATA%\Catalyst\sapi.dll
- %APPDATA%\Catalyst\dao360.dll
- %APPDATA%\Catalyst\spcplui.dll
- %APPDATA%\Catalyst\fp4autl.dll
- %APPDATA%\Catalyst\mssoap1.dll
- %APPDATA%\Catalyst\vgx.dll
- %APPDATA%\Catalyst\msdia80.dll
- %APPDATA%\Catalyst\msdia90.dll
- %APPDATA%\Catalyst\directdb.dll
- %APPDATA%\Catalyst\msdadc.dll
- %APPDATA%\Catalyst\msdaenum.dll
- %APPDATA%\Catalyst\msdfmap.dll
- %APPDATA%\Catalyst\msdarem.dll
- %APPDATA%\Catalyst\msdaremr.dll
- %APPDATA%\Catalyst\msdaosp.dll
- %APPDATA%\Catalyst\msdaps.dll
- %APPDATA%\Catalyst\msdaorar.dll
- %APPDATA%\Catalyst\msdaer.dll
- %APPDATA%\Catalyst\msdaora.dll
- %APPDATA%\Catalyst\msdaprst.dll
- %APPDATA%\Catalyst\msadcfr.dll
- %APPDATA%\Catalyst\msadco.dll
- %APPDATA%\Catalyst\msadcf.dll
- %APPDATA%\Catalyst\msadce.dll
- %APPDATA%\Catalyst\msadcer.dll
- %APPDATA%\Catalyst\msaddsr.dll
- %APPDATA%\Catalyst\msdaprsr.dll
- %APPDATA%\Catalyst\msadds.dll
- %APPDATA%\Catalyst\msadcor.dll
- %APPDATA%\Catalyst\msadcs.dll
Самоперемещается:
- из <Полный путь к вирусу> в <Текущая директория>\err.log
Сетевая активность:
Подключается к:
- 'ca###yst.com':80
TCP:
Запросы HTTP POST:
- ca###yst.com/stats/productid.php
UDP:
- DNS ASK ca###yst.com
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: 'Spooler SubSystem App'
