Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000011] 'PackedCatalogItem' = ''
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000010] 'PackedCatalogItem' = ''
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000009] 'PackedCatalogItem' = ''
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000012] 'PackedCatalogItem' = ''
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000015] 'PackedCatalogItem' = ''
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000014] 'PackedCatalogItem' = ''
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000013] 'PackedCatalogItem' = ''
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000008] 'PackedCatalogItem' = ''
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000003] 'PackedCatalogItem' = ''
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000002] 'PackedCatalogItem' = ''
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000001] 'PackedCatalogItem' = ''
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000004] 'PackedCatalogItem' = ''
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000007] 'PackedCatalogItem' = ''
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000006] 'PackedCatalogItem' = ''
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000005] 'PackedCatalogItem' = ''
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\PitayaService] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- %PROGRAM_FILES%\Pitaya\PitayaServer.exe
- %PROGRAM_FILES%\Pitaya\PitayaServer.exe /install /SILENT
- %TEMP%\is-NSRPI.tmp\<Имя вируса>.tmp /SL5="$40036,678176,53248,<Полный путь к вирусу>"
Запускает на исполнение:
- <SYSTEM32>\net1.exe start dnscache
- <SYSTEM32>\svchost.exe -k NetworkService
- <SYSTEM32>\net.exe stop dnscache
- <SYSTEM32>\net1.exe stop dnscache
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\Pitaya\is-IPTH3.tmp
- %PROGRAM_FILES%\Pitaya\is-SBNIB.tmp
- %ALLUSERSPROFILE%\Desktop\ІЖё»ИЛЙъ.url
- %PROGRAM_FILES%\Pitaya\Ad.ini
- C:\debug_log.txt
- %PROGRAM_FILES%\Pitaya\is-T18NK.tmp
- %TEMP%\is-NF9HK.tmp\_isetup\_RegDLL.tmp
- %TEMP%\is-NSRPI.tmp\<Имя вируса>.tmp
- %TEMP%\is-NF9HK.tmp\_isetup\_shfoldr.dll
- %PROGRAM_FILES%\Pitaya\is-D1FGO.tmp
- %TEMP%\is-NF9HK.tmp\urlnetGet.dll
Удаляет следующие файлы:
- %TEMP%\is-NF9HK.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-NSRPI.tmp\<Имя вируса>.tmp
- %TEMP%\is-NF9HK.tmp\urlnetGet.dll
- %TEMP%\is-NF9HK.tmp\_isetup\_RegDLL.tmp
Перемещает следующие файлы:
- %PROGRAM_FILES%\Pitaya\is-SBNIB.tmp в %PROGRAM_FILES%\Pitaya\SPIFilter.dll
- %PROGRAM_FILES%\Pitaya\is-IPTH3.tmp в %PROGRAM_FILES%\Pitaya\cai.ico
- %PROGRAM_FILES%\Pitaya\is-D1FGO.tmp в %PROGRAM_FILES%\Pitaya\PitayaServer.exe
- %PROGRAM_FILES%\Pitaya\is-T18NK.tmp в %PROGRAM_FILES%\Pitaya\SPIServerDLL.dll
Сетевая активность:
Подключается к:
- 'cf.#f52.com':80
TCP:
Запросы HTTP GET:
- cf.#f52.com/code/C_MgIE_C.asp?ty#########################
UDP:
- DNS ASK ma##.##rvice.cnnuo.com
- DNS ASK c1.####ice.cnnuo.com
- DNS ASK c1.###e.cnnuo.com
- DNS ASK ma##.#yie.cnnuo.com
- DNS ASK cf.#f52.com
- 'ma##.##rvice.cnnuo.com':6743
- 'c1.####ice.cnnuo.com':6743
- 'ma##.#yie.cnnuo.com':7788
- 'c1.###e.cnnuo.com':7788
Другое:
Ищет следующие окна:
- ClassName: 'XFrame_Wnd' WindowName: ''
- ClassName: 'TT_WebCtrl' WindowName: ''
- ClassName: 'Container' WindowName: ''
- ClassName: 'Maxthon2_View' WindowName: ''
- ClassName: 'TCnNuoIEBrowser' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'SE_AxControl' WindowName: ''
- ClassName: 'IEFrame' WindowName: ''
