Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'SmartUpdater' = 'C:\SmartBilling_Client\smartstarter.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\sb-trigger
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name=smartbillingclient dir=in action=allow program=C:\SmartBilling_Client\smartbillingclient.exe enable=yes
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name=smartshare dir=in action=allow program=C:\SmartBilling_Client\smartshare.exe enable=yes
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name=SBComm dir=in action=allow program=C:\SmartBilling_Client\SmartBillingSecurity.exe enable=yes
Изменения в файловой системе
Создает следующие файлы
- C:\smartbilling_client\sound\c_04.wav
- C:\smartbilling_client\smartstarter.exe
- C:\smartbilling_client\smartshare.exe
- C:\smartbilling_client\smartbillingresk.dll
- C:\smartbilling_client\smartbillingclient.exe
- C:\smartbilling_client\smartbillingagent.exe
- C:\smartbilling_client\pflock.dll
- C:\smartbilling_client\sysinfo.dll
- C:\smartbilling_client\msvcr100.dll
- C:\smartbilling_client\mfc100.dll
- C:\smartbilling_client\sound\c_09.wav
- C:\smartbilling_client\sound\c_08.wav
- C:\smartbilling_client\sound\c_07.wav
- C:\smartbilling_client\sound\c_06.wav
- C:\smartbilling_client\sound\c_05.wav
- C:\smartbilling_client\msvcp100.dll
- C:\smartbilling_client\smartstarter.reg
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: 'pfsmartdeskAgent' WindowName: ''
- ClassName: '_SMARTSHARE_' WindowName: ''
- ClassName: 'BWCONTROLLERWIN' WindowName: ''
- ClassName: 'pfsmartdeskclient' WindowName: ''
Создает и запускает на исполнение
- 'C:\smartbilling_client\smartstarter.exe'
- 'C:\smartbilling_client\smartbillingclient.exe'
- 'C:\smartbilling_client\smartbillingagent.exe' -startagent
- 'C:\smartbilling_client\smartshare.exe'
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name=smartbillingclient dir=in action=allow program=C:\SmartBilling_Client\smartbillingclient.exe enable=yes' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name=smartshare dir=in action=allow program=C:\SmartBilling_Client\smartshare.exe enable=yes' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name=SBComm dir=in action=allow program=C:\SmartBilling_Client\SmartBillingSecurity.exe enable=yes' (со скрытым окном)
- 'C:\smartbilling_client\smartbillingclient.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\regedit.exe' /S smartstarter.reg
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "C:\smartbilling_client\smartshar...
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "C:\smartbilling_client\smartbill...
- '<SYSTEM32>\taskeng.exe' {53638896-E46C-4A55-BD07-B3F1FFABC953} S-1-5-21-1960123792-2022915161-3775307078-1001:paicsxlul\user:Interactive:[1]
