Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса с помощью следующих ключей реестра::
- [<HKLM>\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '%ProgramFiles%\dts007' = '00000000'
- [<HKLM>\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '%APPDATA%\' = '00000000'
- [<HKLM>\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '%ProgramFiles(x86)%\dts007' = '00000000'
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\dinjector.exe
- %WINDIR%\temp\aut3447.tmp
- %WINDIR%\temp\ncxlxqx
- %WINDIR%\temp\aut306e.tmp
- %WINDIR%\temp\gladbfp
- %WINDIR%\temp\aut2042.tmp
- %TEMP%\dwnvsgn
- %TEMP%\aut1fd4.tmp
- %WINDIR%\temp\ywpgdxa
- %WINDIR%\temp\aut1f57.tmp
- %WINDIR%\temp\zaxvntj
- %WINDIR%\temp\aut1e8c.tmp
- %TEMP%\fncrscf
- %TEMP%\aut1a75.tmp
- %TEMP%\jcbybud
- %TEMP%\auta1a.tmp
- %TEMP%\gwxhqfp
- %TEMP%\aut807.tmp
- %TEMP%\swhaamk
- %TEMP%\aut690.tmp
- %TEMP%\laoxjdj
- %TEMP%\aut269.tmp
- %WINDIR%\temp\llrnxcg
- %APPDATA%\dtssetup.exe
Удаляет следующие файлы
- %TEMP%\aut269.tmp
- %WINDIR%\temp\ncxlxqx
- %WINDIR%\temp\aut306e.tmp
- %WINDIR%\temp\gladbfp
- %WINDIR%\temp\aut2042.tmp
- %TEMP%\dwnvsgn
- %TEMP%\aut1fd4.tmp
- %WINDIR%\temp\ywpgdxa
- %WINDIR%\temp\aut1f57.tmp
- %WINDIR%\temp\zaxvntj
- %WINDIR%\temp\aut1e8c.tmp
- %TEMP%\fncrscf
- %TEMP%\aut1a75.tmp
- %TEMP%\jcbybud
- %TEMP%\auta1a.tmp
- %TEMP%\gwxhqfp
- %TEMP%\aut807.tmp
- %TEMP%\swhaamk
- %TEMP%\aut690.tmp
- %TEMP%\laoxjdj
- %WINDIR%\temp\aut3447.tmp
- %WINDIR%\temp\llrnxcg
Сетевая активность
TCP
Запросы HTTP GET
- http://12#####.d.yyupload.com/down/1223667/Plugs/dts-setup.exe
- http://0f#.#####.directlink.tv002.com/down/1223667/Plugs/dts-setup.exe?t=###########################################################
- http://12#####.#61.ctc.data.bego.cc/down/072fa2a3d72407f63a0a8d85b652f7f3/dts-setup.exe%28%E4%B8%8B%E8%BD%BD%E5%90%8E%E4%BF%AE%E6%94%B9%E5%90%8E%E7%BC%80%E5%90%8D%29?ct#########################...
UDP
- DNS ASK 12#####.d.yyupload.com
- DNS ASK 0f#.#####.directlink.tv002.com
- DNS ASK 12#####.#61.ctc.data.bego.cc
Другое
Создает и запускает на исполнение
- '%APPDATA%\dinjector.exe' /A "%APPDATA%\"
- '%APPDATA%\dinjector.exe' /A "%ProgramFiles(x86)%\dts007"
- '%APPDATA%\dinjector.exe' /A "%ProgramFiles%\dts007"
- '%APPDATA%\dinjector.exe' /A-1 "%ProgramFiles%\dts007"
- '%APPDATA%\dinjector.exe' /A-1 "%APPDATA%\"
- '%APPDATA%\dinjector.exe' /A-1 "%ProgramFiles(x86)%\dts007"
- '%APPDATA%\dinjector.exe' /A "%APPDATA%\"' (со скрытым окном)
- '%APPDATA%\dinjector.exe' /A "%ProgramFiles(x86)%\dts007"' (со скрытым окном)
- '%APPDATA%\dinjector.exe' /A "%ProgramFiles%\dts007"' (со скрытым окном)
