Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- C:\temp\ITSOUL_INSTALL\juFile\juFile\juFile.exe
Запускает на исполнение:
- <SYSTEM32>\cmd.exe /c ""%TEMP%\7ZSfx000.cmd" "
- <SYSTEM32>\cmd.exe /c ""c:\temp\ITSOUL_INSTALL\juFile\AFB-Setup.bat" "
Изменения в файловой системе:
Создает следующие файлы:
- C:\temp\ITSOUL_INSTALL\juFile\juFile\MySql.Data.InstallState
- C:\temp\ITSOUL_INSTALL\juFile\juFile\init.info
- C:\temp\ITSOUL_INSTALL\juFile\juFile\update.urls
- C:\temp\ITSOUL_INSTALL\juFile\juFile\juFile.exe
- C:\temp\ITSOUL_INSTALL\juFile\juFile\AFBSoftUpdate.exe
- C:\temp\ITSOUL_INSTALL\juFile\juFile\downloadlist.txt
- C:\temp\ITSOUL_INSTALL\juFile\juFile\mtexeccommand.bat
- C:\temp\ITSOUL_INSTALL\juFile\juFile\update.txt
- C:\temp\ITSOUL_INSTALL\juFile\juFile\autorun.inf
- C:\temp\ITSOUL_INSTALL\juFile\juFile\Thumbs.db
- C:\temp\ITSOUL_INSTALL\juFile\juFile\mt.exe
- C:\temp\ITSOUL_INSTALL\juFile\juFile\pingLibrary.dll
- C:\temp\ITSOUL_INSTALL\juFile\juFile\Org.Mentalis.Security.dll
- C:\temp\ITSOUL_INSTALL\juFile\juFile\Tamir.SharpSSH.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\jufile_125_125[1].html
- %TEMP%\7ZSfx000.cmd
- C:\temp\ITSOUL_INSTALL\juFile\juFile\Interop.IWshRuntimeLibrary.dll
- C:\temp\ITSOUL_INSTALL\juFile\juFile\DiffieHellman.dll
- C:\temp\ITSOUL_INSTALL\juFile\juFile\Interop.Shell32.dll
- C:\temp\ITSOUL_INSTALL\juFile\juFile\MySql.Data.Entity.dll
- C:\temp\ITSOUL_INSTALL\juFile\juFile\MySql.Data.dll
- C:\temp\ITSOUL_INSTALL\juFile\juFile\button_afb_return.PNG
- C:\temp\ITSOUL_INSTALL\juFile\juFile\background.PNG
- C:\temp\ITSOUL_INSTALL\juFile\juFile\button_filecatalog.PNG
- C:\temp\ITSOUL_INSTALL\juFile\juFile\button_filecatalog_160_18.PNG
- C:\temp\ITSOUL_INSTALL\juFile\juFile\button_filecatalog12.PNG
- C:\temp\ITSOUL_INSTALL\juFile\juFile\freestop
- C:\temp\ITSOUL_INSTALL\juFile\juFile\datadir
- C:\temp\ITSOUL_INSTALL\juFile\juFile\tempstart
- C:\temp\ITSOUL_INSTALL\juFile\juFile\help.chm
- C:\temp\ITSOUL_INSTALL\juFile\juFile\windowmin
- C:\temp\ITSOUL_INSTALL\juFile\juFile\button_option.PNG
- C:\temp\ITSOUL_INSTALL\juFile\juFile\juFile.exe.manifest
- C:\temp\ITSOUL_INSTALL\juFile\juFile\AFBSoftUpdate.exe.manifest
- C:\temp\ITSOUL_INSTALL\juFile\AFB-setup.bat
- C:\temp\ITSOUL_INSTALL\juFile\juFile\mtexecAFBSoftUpdate.bat
- C:\temp\ITSOUL_INSTALL\juFile\juFile\mtexecAFBShowAd.bat
- C:\temp\ITSOUL_INSTALL\juFile\juFile\noCloseimg.PNG
- C:\temp\ITSOUL_INSTALL\juFile\juFile\ect_UI_394_274.PNG
- C:\temp\ITSOUL_INSTALL\juFile\juFile\schedulingbackup.PNG
- C:\temp\ITSOUL_INSTALL\juFile\juFile\AutoIcon.ico
- C:\temp\ITSOUL_INSTALL\juFile\juFile\tabpanelBG2.png
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\temp\ITSOUL_INSTALL\juFile\juFile\MySql.Data.dll
- C:\temp\ITSOUL_INSTALL\juFile\juFile\MySql.Data.Entity.dll
- C:\temp\ITSOUL_INSTALL\juFile\juFile\MySql.Data.InstallState
- C:\temp\ITSOUL_INSTALL\juFile\juFile\Thumbs.db
- C:\temp\ITSOUL_INSTALL\juFile\juFile\autorun.inf
Удаляет следующие файлы:
- C:\temp\ITSOUL_INSTALL\juFile\juFile\tempstart
- %TEMP%\7ZSfx000.cmd
Самоудаляется.
Сетевая активность:
Подключается к:
- 'wp#d':80
- 'it###l.co.kr':80
- 'localhost':1035
- 'ju##le.com':80
TCP:
Запросы HTTP GET:
- it###l.co.kr/FirmwareUpdate/FileHolic/freestop
- wp#d/wpad.dat
- ju##le.com/ads/jufile_125_125.html
UDP:
- DNS ASK it###l.co.kr
- DNS ASK wp#d
- DNS ASK ju##le.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
