Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\circlass] 'ImagePath' = 'system32\DRIVERS\circlass.sys'
Создает следующие сервисы
- 'circlass' system32\DRIVERS\circlass.sys
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM QuickStart.exe
- '<SYSTEM32>\taskkill.exe' /F /IM "IR Learning Wizard.exe"
- '<SYSTEM32>\taskkill.exe' /F /IM QuickTV.exe
- '<SYSTEM32>\taskkill.exe' /F /IM ehunserv.exe
- '<SYSTEM32>\taskkill.exe' /F /IM AVerTV.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsg8ae1.tmp\system.dll
- %WINDIR%\driver cache\avermedia\avxcl311m1cap_5.0.64.13\cl311m1_x64.inf
- %WINDIR%\driver cache\avermedia\avxcl311m1cap_5.0.64.13\customer_avxcl311m1.bin
- %WINDIR%\driver cache\avermedia\avxcl311m1cap_5.0.64.13\install.bmp
- %WINDIR%\driver cache\avermedia\avxcl311m1cap_5.0.64.13\installdriver.exe
- %WINDIR%\driver cache\avermedia\avxcl311m1cap_5.0.64.13\remove.bmp
- %WINDIR%\driver cache\avermedia\avxcl311m1cap_5.0.64.13\removedriver.exe
- %WINDIR%\driver cache\avermedia\avxcl311m1cap_5.0.64.13\videoprocpropcl311m1.dll
- %ProgramFiles(x86)%\avermedia\avermedia cl311-m1 pcie hd capture card\aver_custom_no_signal.bmp
- %WINDIR%\driver cache\avermedia\avxcl311m1cap_5.0.64.13\videoprocpropcl311m164.dll
- %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\set59c.tmp
- %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\set6c5.tmp
- %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\set87b.tmp
- %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\set9a5.tmp
- %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\setace.tmp
- %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\setca3.tmp
- %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\setdec.tmp
- %WINDIR%\driver cache\avermedia\avxcl311m1cap_5.0.64.13\avxcl311m1_x64.cat
- %WINDIR%\driver cache\avermedia\avxcl311m1cap_5.0.64.13\avxcl311m1_x64.sys
- %WINDIR%\driver cache\avermedia\avxcl311m1cap_5.0.64.13\aver_hdmi_edid_cl311m1.bin
- %WINDIR%\driver cache\avermedia\avxcl311m1cap_5.0.64.13\aver_custom_out_of_range.bmp
- %WINDIR%\driver cache\avermedia\avxcl311m1cap_5.0.64.13\aver_custom_no_signal.bmp
- %ProgramFiles(x86)%\avermedia\avermedia cl311-m1 pcie hd capture card\cl311m1_x64.inf
- %ProgramFiles(x86)%\avermedia\avermedia cl311-m1 pcie hd capture card\install.bmp
- %ProgramFiles(x86)%\avermedia\avermedia cl311-m1 pcie hd capture card\installdriver.exe
- %ProgramFiles(x86)%\avermedia\avermedia cl311-m1 pcie hd capture card\remove.bmp
- %ProgramFiles(x86)%\avermedia\avermedia cl311-m1 pcie hd capture card\removedriver.exe
- %ProgramFiles(x86)%\avermedia\avermedia cl311-m1 pcie hd capture card\videoprocpropcl311m1.dll
- %ProgramFiles(x86)%\avermedia\avermedia cl311-m1 pcie hd capture card\videoprocpropcl311m164.dll
- %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\setf63.tmp
- %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\set463.tmp
- %ProgramFiles(x86)%\avermedia\avermedia cl311-m1 pcie hd capture card\aver_custom_hdcp_protection.bmp
- %ProgramFiles(x86)%\avermedia\avermedia cl311-m1 pcie hd capture card\aver_hdmi_edid_cl311m1.bin
- %ProgramFiles(x86)%\avermedia\avermedia cl311-m1 pcie hd capture card\customer_avxcl311m1.bin
- %ProgramFiles(x86)%\avermedia\avermedia cl311-m1 pcie hd capture card\cat\win10\avxcl311m1_x64.cat
- %ProgramFiles(x86)%\avermedia\avermedia cl311-m1 pcie hd capture card\cat\win7\avxcl311m1_x64.cat
- %ProgramFiles(x86)%\avermedia\avermedia cl311-m1 pcie hd capture card\cat\win8\avxcl311m1_x64.cat
- %ProgramFiles(x86)%\avermedia\avermedia cl311-m1 pcie hd capture card\avxcl311m1_x64.cat
- %WINDIR%\driver cache\avermedia\avxcl311m1cap_5.0.64.13\aver_custom_hdcp_protection.bmp
- %ProgramFiles(x86)%\avermedia\avermedia cl311-m1 pcie hd capture card\avxcl311m1_x64.sys
- %ProgramFiles(x86)%\avermedia\avermedia cl311-m1 pcie hd capture card\aver_custom_out_of_range.bmp
- %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\set10ea.tmp
Удаляет следующие файлы
- %ProgramFiles(x86)%\avermedia\avermedia cl311-m1 pcie hd capture card\cat\win10\avxcl311m1_x64.cat
- %ProgramFiles(x86)%\avermedia\avermedia cl311-m1 pcie hd capture card\cat\win7\avxcl311m1_x64.cat
- %ProgramFiles(x86)%\avermedia\avermedia cl311-m1 pcie hd capture card\cat\win8\avxcl311m1_x64.cat
Перемещает следующие файлы
- %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\set463.tmp в %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\avxcl311m1_x64.cat
- %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\set59c.tmp в %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\avxcl311m1_x64.sys
- %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\set6c5.tmp в %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\aver_custom_no_signal.bmp
- %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\set87b.tmp в %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\customer_avxcl311m1.bin
- %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\set9a5.tmp в %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\cl311m1_x64.inf
- %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\setace.tmp в %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\aver_custom_hdcp_protection.bmp
- %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\setca3.tmp в %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\videoprocpropcl311m1.dll
- %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\setdec.tmp в %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\videoprocpropcl311m164.dll
- %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\setf63.tmp в %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\aver_hdmi_edid_cl311m1.bin
- %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\set10ea.tmp в %TEMP%\{2df0fc8e-0fd0-746d-56aa-a7494222dd64}\aver_custom_out_of_range.bmp
Сетевая активность
TCP
Запросы HTTP GET
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
UDP
- DNS ASK microsoft.com
Другое
Ищет следующие окна
- ClassName: 'AVerQTApp' WindowName: ''
- ClassName: 'AVerTrayIconAPP' WindowName: ''
- ClassName: 'AVerQuickApp' WindowName: ''
- ClassName: 'AmaQuickStart' WindowName: ''
- ClassName: 'QuickTVApp' WindowName: ''
- ClassName: '' WindowName: 'eHome Service'
- ClassName: 'AVerTVApp' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\avermedia\avermedia cl311-m1 pcie hd capture card\installdriver.exe' /s
- '<SYSTEM32>\taskkill.exe' /F /IM QuickStart.exe' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM "IR Learning Wizard.exe"' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM QuickTV.exe' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM ehunserv.exe' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM AVerTV.exe' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\pnpui.dll,InstallSecurityPromptRunDllW 20 Global\{417de3ba-004e-1e60-8e81-57426c64fe0a} Global\{63543c09-414d-2680-8b6e-07152f3a1918} <DRIVERSTORE>\Temp\{3a1cf02a-8219-35cb-1dec-671d...
