Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\ppdrv] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- <SYSTEM32>\svchost.exe -k ppdrv
- <SYSTEM32>\sc.exe start ppdrv
- <SYSTEM32>\reg.exe add "hklm\software\microsoft\windows nt\currentversion\svchost" /v ppdrv /t reg_multi_sz /d "ppdrv\0" /f
- <SYSTEM32>\ping.exe -n 5 localhost
- <SYSTEM32>\ipconfig.exe /flushdns
- <SYSTEM32>\sc.exe boot ok
- <SYSTEM32>\reg.exe add "hklm\system\currentcontrolset\services\ppdrv" /v failureactions /t reg_binary /d 00000000000000000000000003000000140000000100000060ea00000100000060ea00000100000060ea0000 /f
- <SYSTEM32>\netsh.exe firewall add allowedprogram name="pdrv" program="<SYSTEM32>\svchost.exe" mode=enable
- <SYSTEM32>\reg.exe add "hklm\software\microsoft\internet explorer\main" /v tp /t reg_sz /d 1000 /f
- <SYSTEM32>\cmd.exe /c "%temp%\pdrv.bat"
- <SYSTEM32>\reg.exe add "hklm\system\currentcontrolset\services\ppdrv\parameters" /v servicedll /t reg_expand_sz /d "1239948ndir\system32\pdrv.dll" /f
- <SYSTEM32>\sc.exe create "ppdrv" type= share start= auto binpath= "<SYSTEM32>\svchost.exe -k ppdrv"
- <SYSTEM32>\netsh.exe firewall add portopening tcp 8085 pdrv enable
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\pdrv.bat
Самоудаляется.
Сетевая активность:
Подключается к:
- 'localhost':8085
