Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\_ZupSfx0\setup.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\F5A17C00E427F919C4A49EEF5AD0EE53
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\F5A17C00E427F919C4A49EEF5AD0EE53
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\DC2135CED98D8A4D7C0CEE202BB0B810
- %WINDIR%\uninstall\Reversi Pro\setup.exe
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\5C8DDA36D60247082B142836039F4636
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\5C8DDA36D60247082B142836039F4636
- %TEMP%\_ZupSfx0\setup.exe
- %TEMP%\_ZupSfx0\setup.cfg
- %TEMP%\_ZupSfx0\setup.cab
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\DC2135CED98D8A4D7C0CEE202BB0B810
- %TEMP%\setup~1\setup.zmr
- %TEMP%\_ZupSfx0\setup.gif
Сетевая активность:
Подключается к:
- 'cr#.##obalsign.net':80
- 'wp#d':80
TCP:
Запросы HTTP GET:
- cr#.##obalsign.net/primobject.crl
- cr#.##obalsign.net/ObjectSign.crl
- wp#d/wpad.dat
- cr#.##obalsign.net/Root.crl
UDP:
- DNS ASK cr#.##obalsign.net
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: 'GINA Logon'
- ClassName: 'Shell_TrayWnd' WindowName: ''
