Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /IM qbw32.exe
- '%WINDIR%\syswow64\taskkill.exe' /F /IM qbupdate.exe
- '%WINDIR%\syswow64\taskkill.exe' /F /IM qbhelp.exe
- '%WINDIR%\syswow64\taskkill.exe' /F /IM QBCFMonitorService.exe
- '%WINDIR%\syswow64\taskkill.exe' /F /IM QBUpdateService.exe
- '%WINDIR%\syswow64\taskkill.exe' /F /IM splwow64.exe
- '%WINDIR%\syswow64\taskkill.exe' /F /IM spoolsv.exe
- '%WINDIR%\syswow64\net.exe' STOP "Spooler"
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\spoolsv.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ca76.tmp\pdfix.bat
- <SYSTEM32>\spool\drivers\x64\{4f8a0b4d-f1ee-44db-b1a0-f1c123cdc7aa}\setcf83.tmp
- <SYSTEM32>\spool\drivers\x64\{4f8a0b4d-f1ee-44db-b1a0-f1c123cdc7aa}\setcfa3.tmp
- <SYSTEM32>\spool\drivers\x64\{4f8a0b4d-f1ee-44db-b1a0-f1c123cdc7aa}\setd021.tmp
- <SYSTEM32>\spool\drivers\x64\3\new\acpdf300.dll
- <SYSTEM32>\spool\drivers\x64\3\new\acpdfui300.dll
- <SYSTEM32>\spool\drivers\x64\3\new\cdintf300.dll
- %TEMP%\ixp000.tmp\onenot~1.exe
- %TEMP%\ixp000.tmp\onenot~2.exe
- %TEMP%\651.tmp\onenote_port_fix.bat
- %TEMP%\ixp000.tmp\install.exe
- %TEMP%\ixp000.tmp\onenote.reg
- %TEMP%\ixp000.tmp\atpdf300.cat
- %TEMP%\ixp000.tmp\portback.reg
- %TEMP%\ixp000.tmp\xmllite.dll
- %TEMP%\ixp000.tmp\1note-1.reg
- %TEMP%\ixp000.tmp\acfpdf.drv
- %TEMP%\ixp000.tmp\acfpdf.txt
- %TEMP%\ixp000.tmp\acfpdfu.dll
- %TEMP%\ixp000.tmp\acfpdfuamd64.dll
- %TEMP%\ixp000.tmp\acfpdfui.dll
- %TEMP%\ixp000.tmp\acfpdfuiamd64.dll
- %TEMP%\ixp000.tmp\amyuni.inf
- <SYSTEM32>\spool\drivers\x64\{4f8a0b4d-f1ee-44db-b1a0-f1c123cdc7aa}\setcf53.tmp
- %TEMP%\ixp000.tmp\install.ini
- %TEMP%\{206accb3-38ca-1728-845b-9e710d54aa66}\set9caf.tmp
- <Текущая директория>\install.ini
- <Текущая директория>\xmllite.dll
- <Текущая директория>\acfpdf.txt
- <Текущая директория>\acfpdfu.dll
- <Текущая директория>\acfpdfuamd64.dll
- <Текущая директория>\acfpdfui.dll
- <Текущая директория>\acfpdfuiamd64.dll
- <Текущая директория>\amyuni.inf
- <Текущая директория>\atpdf300.cat
- <Текущая директория>\cdintf.dll
- <Текущая директория>\install.exe
- <Текущая директория>\install.log
- %TEMP%\{206accb3-38ca-1728-845b-9e710d54aa66}\set99bf.tmp
- <Текущая директория>\no400.reg
- <Текущая директория>\pdf-onenote-fix.exe
- <Текущая директория>\acfpdf.drv
- nul
- %WINDIR%\syswow64\cdintf300.dll
- %WINDIR%\syswow64\set899f.tmp
- <SYSTEM32>\spool\drivers\x64\3\acfpdf.txt
- %TEMP%\{206accb3-38ca-1728-845b-9e710d54aa66}\set9671.tmp
- %TEMP%\{206accb3-38ca-1728-845b-9e710d54aa66}\set978b.tmp
- %TEMP%\{206accb3-38ca-1728-845b-9e710d54aa66}\set9895.tmp
- %TEMP%\{206accb3-38ca-1728-845b-9e710d54aa66}\set9b08.tmp
- %TEMP%\ixp000.tmp\cdintf.dll
Удаляет следующие файлы
- %WINDIR%\syswow64\set899f.tmp
- %TEMP%\{206accb3-38ca-1728-845b-9e710d54aa66}\acfpdf.txt
- %TEMP%\{206accb3-38ca-1728-845b-9e710d54aa66}\acfpdfuamd64.dll
- %TEMP%\{206accb3-38ca-1728-845b-9e710d54aa66}\acfpdfuiamd64.dll
- %TEMP%\{206accb3-38ca-1728-845b-9e710d54aa66}\amyuni.inf
- %TEMP%\{206accb3-38ca-1728-845b-9e710d54aa66}\atpdf300.cat
- %TEMP%\{206accb3-38ca-1728-845b-9e710d54aa66}\cdintf.dll
- <SYSTEM32>\spool\drivers\x64\{4f8a0b4d-f1ee-44db-b1a0-f1c123cdc7aa}\acfpdf.txt
- <SYSTEM32>\spool\drivers\x64\{4f8a0b4d-f1ee-44db-b1a0-f1c123cdc7aa}\acpdf300.dll
- <SYSTEM32>\spool\drivers\x64\{4f8a0b4d-f1ee-44db-b1a0-f1c123cdc7aa}\acpdfui300.dll
- <SYSTEM32>\spool\drivers\x64\{4f8a0b4d-f1ee-44db-b1a0-f1c123cdc7aa}\cdintf300.dll
Перемещает следующие файлы
- %TEMP%\{206accb3-38ca-1728-845b-9e710d54aa66}\set9671.tmp в %TEMP%\{206accb3-38ca-1728-845b-9e710d54aa66}\amyuni.inf
- %TEMP%\{206accb3-38ca-1728-845b-9e710d54aa66}\set978b.tmp в %TEMP%\{206accb3-38ca-1728-845b-9e710d54aa66}\atpdf300.cat
- %TEMP%\{206accb3-38ca-1728-845b-9e710d54aa66}\set9895.tmp в %TEMP%\{206accb3-38ca-1728-845b-9e710d54aa66}\acfpdfuiamd64.dll
- %TEMP%\{206accb3-38ca-1728-845b-9e710d54aa66}\set99bf.tmp в %TEMP%\{206accb3-38ca-1728-845b-9e710d54aa66}\acfpdfuamd64.dll
- %TEMP%\{206accb3-38ca-1728-845b-9e710d54aa66}\set9b08.tmp в %TEMP%\{206accb3-38ca-1728-845b-9e710d54aa66}\cdintf.dll
- %TEMP%\{206accb3-38ca-1728-845b-9e710d54aa66}\set9caf.tmp в %TEMP%\{206accb3-38ca-1728-845b-9e710d54aa66}\acfpdf.txt
- <SYSTEM32>\spool\drivers\x64\{4f8a0b4d-f1ee-44db-b1a0-f1c123cdc7aa}\setcf53.tmp в <SYSTEM32>\spool\drivers\x64\{4f8a0b4d-f1ee-44db-b1a0-f1c123cdc7aa}\acpdf300.dll
- <SYSTEM32>\spool\drivers\x64\{4f8a0b4d-f1ee-44db-b1a0-f1c123cdc7aa}\setcf83.tmp в <SYSTEM32>\spool\drivers\x64\{4f8a0b4d-f1ee-44db-b1a0-f1c123cdc7aa}\acpdfui300.dll
- <SYSTEM32>\spool\drivers\x64\{4f8a0b4d-f1ee-44db-b1a0-f1c123cdc7aa}\setcfa3.tmp в <SYSTEM32>\spool\drivers\x64\{4f8a0b4d-f1ee-44db-b1a0-f1c123cdc7aa}\cdintf300.dll
- <SYSTEM32>\spool\drivers\x64\{4f8a0b4d-f1ee-44db-b1a0-f1c123cdc7aa}\setd021.tmp в <SYSTEM32>\spool\drivers\x64\{4f8a0b4d-f1ee-44db-b1a0-f1c123cdc7aa}\acfpdf.txt
- <SYSTEM32>\spool\drivers\x64\3\new\acpdf300.dll в <SYSTEM32>\spool\drivers\x64\3\acpdf300.dll
- <SYSTEM32>\spool\drivers\x64\3\new\acpdfui300.dll в <SYSTEM32>\spool\drivers\x64\3\acpdfui300.dll
- <SYSTEM32>\spool\drivers\x64\3\new\cdintf300.dll в <SYSTEM32>\spool\drivers\x64\3\cdintf300.dll
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
- ClassName: 'RegEdit_RegEdit' WindowName: ''
Создает и запускает на исполнение
- '<Текущая директория>\install.exe' -s -u "QuickBooks PDF Converter"
- '<Текущая директория>\install.exe' -s
- '%WINDIR%\syswow64\wscript.exe' /B /E:VBS "<SYSTEM32>\spool\DRIVERS\x64\3\ACFPDF.TXT" "QuickBooks PDF Converter"
- '<Текущая директория>\pdf-onenote-fix.exe'
- '%TEMP%\ixp000.tmp\onenot~1.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\CA76.tmp\pdfix.bat""
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\651.tmp\OneNote_Port_Fix.bat""
- '%WINDIR%\syswow64\regedit.exe' /s no400.reg
- '<SYSTEM32>\spoolsv.exe'
- '%WINDIR%\syswow64\net1.exe' START "Spooler"
- '%WINDIR%\syswow64\net.exe' START "Spooler"
- '%WINDIR%\syswow64\ping.exe' -n 1 127.0.0.1
- '%WINDIR%\syswow64\net1.exe' STOP "Spooler"
- '%WINDIR%\syswow64\regedit.exe' /s onenote.reg
- '%WINDIR%\syswow64\regsvr32.exe' /s %WINDIR%\syswow64\msxml6.dll
- '%WINDIR%\syswow64\regsvr32.exe' /s %WINDIR%\syswow64\msxml4.dll
- '%WINDIR%\syswow64\regsvr32.exe' /u /s %WINDIR%\syswow64\msxml4.dll
- '%WINDIR%\syswow64\regsvr32.exe' /s msxml6.dll
- '%WINDIR%\syswow64\regsvr32.exe' /u /s msxml6.dll
- '%WINDIR%\syswow64\regsvr32.exe' /s msxml4.dll
- '%WINDIR%\syswow64\regsvr32.exe' /u /s msxml4.dll
- '%WINDIR%\syswow64\ping.exe' -n 3 127.0.0.1
- '%WINDIR%\syswow64\regsvr32.exe' /u /s %WINDIR%\syswow64\msxml6.dll
- '%WINDIR%\syswow64\regedit.exe' /s 1note-1.reg
