Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\FancyRd] 'Start' = '00000000'
Вредоносные функции:
Создает и запускает на исполнение:
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\frsetup.exe -i1 "%PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\drv\\"
- %APPDATA%\doctor\ram\DoctoR.exe
- %APPDATA%\doctor\ram\Primo.Ramdisk.Ult.Mui.Setup.5.6.0.exe /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /SP-
- %TEMP%\is-0QLGR.tmp\Primo.Ramdisk.Ult.Mui.Setup.5.6.0.tmp /SL5="$1013E,2008071,154112,%APPDATA%\doctor\ram\Primo.Ramdisk.Ult.Mui.Setup.5.6.0.exe" /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /SP-
Запускает на исполнение:
- <SYSTEM32>\runonce.exe -r
- <SYSTEM32>\cmd.exe /c ""%APPDATA%\doctor\ram\kur.cmd" "
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\CabB.tmp
- %TEMP%\Cab9.tmp
- %TEMP%\Cab5.tmp
- %WINDIR%\inf\oem3.inf
- %TEMP%\CabF.tmp
- %TEMP%\CabD.tmp
- %TEMP%\Cab3.tmp
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\is-H73RN.tmp
- %TEMP%\Cab1.tmp
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
- %ALLUSERSPROFILE%\Start Menu\Programs\Primo Ramdisk Ultimate Edition\Uninstall Primo Ramdisk Ultimate Edition.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\Primo Ramdisk Ultimate Edition\Primo Ramdisk Ultimate Edition.lnk
- %TEMP%\Cab1A.tmp
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\FancyRd.exe
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\unins000.dat
- %ALLUSERSPROFILE%\Desktop\Primo Ramdisk Ultimate Edition.lnk
- %TEMP%\Cab18.tmp
- %WINDIR%\Temp\OLD12.tmp
- %WINDIR%\LastGood\TMP11.tmp
- %WINDIR%\inf\oem3.PNF
- %TEMP%\Cab16.tmp
- %TEMP%\Cab14.tmp
- <DRIVERS>\SET13.tmp
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\is-GI9T0.tmp
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\is-SE3SG.tmp
- %TEMP%\is-2N6OL.tmp\_isetup\_shfoldr.dll
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\lang\is-C38B4.tmp
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\lang\is-2E14J.tmp
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\is-CKM1N.tmp
- %TEMP%\is-0QLGR.tmp\Primo.Ramdisk.Ult.Mui.Setup.5.6.0.tmp
- %APPDATA%\doctor\ram\FancyRd.exe
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\$inst\2.tmp
- %APPDATA%\doctor\ram\kur.cmd
- %APPDATA%\doctor\ram\DoctoR.exe
- %APPDATA%\doctor\ram\Primo.Ramdisk.Ult.Mui.Setup.5.6.0.exe
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\drv\is-5OO2J.tmp
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\drv\is-P9JSV.tmp
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\cert\is-LER0A.tmp
- <DRIVERS>\is-O4S67.tmp
- <DRIVERS>\is-HUSIB.tmp
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\drv\is-4GRDR.tmp
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\eula\is-18R4E.tmp
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\lang\is-DECTJ.tmp
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\lang\is-0P35B.tmp
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\lang\is-NU354.tmp
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\eula\is-QURRM.tmp
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\lang\is-PK8K6.tmp
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\lang\is-3VMB5.tmp
Удаляет следующие файлы:
- %TEMP%\is-2N6OL.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-0QLGR.tmp\Primo.Ramdisk.Ult.Mui.Setup.5.6.0.tmp
- %TEMP%\Cab1A.tmp
- %TEMP%\Cab16.tmp
- %TEMP%\Cab18.tmp
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\FancyRd.exe
- %APPDATA%\doctor\ram\kur.cmd
- %TEMP%\$inst\2.tmp
- %APPDATA%\doctor\ram\DoctoR.exe
- %APPDATA%\doctor\ram\Primo.Ramdisk.Ult.Mui.Setup.5.6.0.exe
- %APPDATA%\doctor\ram\FancyRd.exe
- %TEMP%\Cab5.tmp
- %TEMP%\Cab9.tmp
- %TEMP%\Cab3.tmp
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\Cab1.tmp
- %TEMP%\CabB.tmp
- %WINDIR%\Temp\OLD12.tmp
- %TEMP%\Cab14.tmp
- <DRIVERS>\fancyrd.sys
- %TEMP%\CabD.tmp
- %TEMP%\CabF.tmp
Перемещает следующие файлы:
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\drv\is-5OO2J.tmp в %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\drv\fancyrd.inf
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\drv\is-4GRDR.tmp в %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\drv\fancyrd.cat
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\drv\is-P9JSV.tmp в %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\drv\fancyrd.sys
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\eula\is-18R4E.tmp в %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\eula\eula_chs.rtf
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\cert\is-LER0A.tmp в %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\cert\romexcert.cer
- %WINDIR%\LastGood\TMP11.tmp в %WINDIR%\LastGood\system32\DRIVERS\fancyrd.sys
- <DRIVERS>\SET13.tmp в <DRIVERS>\fancyrd.sys
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\is-H73RN.tmp в %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\frsetup.exe
- <DRIVERS>\is-HUSIB.tmp в <DRIVERS>\fancyrd.sys
- <DRIVERS>\is-O4S67.tmp в <DRIVERS>\rxbsknl.sys
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\eula\is-QURRM.tmp в %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\eula\eula_enu.rtf
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\lang\is-2E14J.tmp в %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\lang\frd_chs.dll
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\lang\is-C38B4.tmp в %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\lang\frd_cht.dll
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\is-CKM1N.tmp в %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\rxprd.exe
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\is-SE3SG.tmp в %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\unins000.exe
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\is-GI9T0.tmp в %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\FancyRd.exe
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\lang\is-3VMB5.tmp в %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\lang\frd_plk.dll
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\lang\is-PK8K6.tmp в %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\lang\frd_kor.dll
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\lang\is-DECTJ.tmp в %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\lang\frd_esn.dll
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\lang\is-NU354.tmp в %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\lang\frd_fra.dll
- %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\lang\is-0P35B.tmp в %PROGRAM_FILES%\Primo Ramdisk Ultimate Edition\lang\frd_rus.dll
Сетевая активность:
Подключается к:
- 'www.download.windowsupdate.com':80
- 'wp#d':80
TCP:
Запросы HTTP GET:
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
- wp#d/wpad.dat
UDP:
- DNS ASK www.download.windowsupdate.com
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
