Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Classes\macourtsafer\shell\open\command] '' = '"%ProgramFiles(x86)%\markany\maepscourt\macourtsafer.exe" "%1"'
- [<HKLM>\Software\Classes\rprtregisterxctrl\shell\open\command] '' = '"%ProgramFiles(x86)%\markany\maepscourt\rprtregisterxctrl.exe" "%1"'
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\MACOURTSAFER_Svc] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\MACOURTSAFER_Svc] 'ImagePath' = '%ProgramFiles(x86)%\markany\maepscourt\macourtsafersvc.exe'
- [<HKLM>\System\CurrentControlSet\Services\cbfltfs4] 'Start' = '00000000'
- [<HKLM>\System\CurrentControlSet\Services\cbfltfs4] 'ImagePath' = 'system32\drivers\cbfltfs4.sys'
Создает следующие сервисы
- 'MACOURTSAFER_Svc' %ProgramFiles(x86)%\markany\maepscourt\macourtsafersvc.exe
- 'cbfltfs4' <DRIVERS>\cbfltfs4.sys
Вредоносные функции
Изменяет следующие настройки браузера Windows Internet Explorer
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1609' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1609' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1406' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1406' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1406' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1406' = '00000000'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\marpackcheck_iros.exe
- %ProgramFiles(x86)%\markany\maepscourt\macourtsafersvc.exe
- %ProgramFiles(x86)%\markany\maepscourt\epagesafernoaxcourt.dll
- %ProgramFiles(x86)%\markany\maepscourt\macert.pfx
- %ProgramFiles(x86)%\markany\maepscourt\ae06eea3946fde01a9d45c65376dceeee4d0e3d8
- %ProgramFiles(x86)%\markany\maepscourt\macourtcertmgr.exe
- %ProgramFiles(x86)%\markany\maepscourt\macourtsafer.exe
- %TEMP%\nscab8b.tmp\maplugins.dll
- %WINDIR%\syswow64\maonfps_cocreate.dll
- %ProgramFiles(x86)%\markany\maepscourt\uninst_macourtsafer.exe
- %WINDIR%\syswow64\maepagesaferrtshop.dll
- %WINDIR%\syswow64\maepagesaferrtshopv.dll
- %WINDIR%\syswow64\magetupdinfo.dll
- %WINDIR%\syswow64\macbfltinstall.exe
- %WINDIR%\syswow64\drivers\cbfltfs4.sys
- %WINDIR%\syswow64\macallbackflt.dll
- <DRIVERS>\cbfltfs4.sys
- <SYSTEM32>\supd_provider.dll
- %WINDIR%\syswow64\maepagesaferubi.dll
- <SYSTEM32>\maprotection.dll
- %WINDIR%\syswow64\macourtprintinfo.dll
- %ProgramFiles(x86)%\markany\maepscourt\crimgr_lite.exe
- %TEMP%\nscab8b.tmp\nsprocess.dll
- %WINDIR%\syswow64\fxk_mmd2.dll
- %WINDIR%\syswow64\fxk_mmd2_devicelists.dat
- %WINDIR%\syswow64\mappinglist.xml
- %WINDIR%\syswow64\maprintinfo_eco.dat
- %WINDIR%\syswow64\maepagesafer.dll
- %WINDIR%\syswow64\macourtprtchk.dat
- <SYSTEM32>\fxk_mmd2.dll
- %WINDIR%\syswow64\cngpd.dll
- %WINDIR%\syswow64\cnpdsdk.dll
- %WINDIR%\syswow64\cnpdsdk32.dll
- %WINDIR%\syswow64\getcnmodelname64.dll
- %WINDIR%\syswow64\maprotection.dll
- %WINDIR%\syswow64\supd_provider.dll
- %TEMP%\nscab8b.tmp\system.dll
- <SYSTEM32>\fxk_mmd2_devicelists.dat
- %WINDIR%\temp\uddeb38.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- %ProgramFiles(x86)%\markany\maepscourt\macert.pfx
Удаляет следующие файлы
- %ProgramFiles(x86)%\markany\maepscourt\crimgr_lite.exe
- %TEMP%\nscab8b.tmp\maplugins.dll
- %TEMP%\nscab8b.tmp\nsprocess.dll
- %TEMP%\nscab8b.tmp\system.dll
- %WINDIR%\temp\uddeb38.tmp
Перемещает следующие файлы
- %ProgramFiles(x86)%\markany\maepscourt\ae06eea3946fde01a9d45c65376dceeee4d0e3d8 в %APPDATA%\microsoft\systemcertificates\my\certificates\ae06eea3946fde01a9d45c65376dceeee4d0e3d8
Изменяет следующие файлы
- %LOCALAPPDATA%\google\chrome\user data\local state
- %APPDATA%\opera software\opera stable\local state
Другое
Добавляет корневой сертификат
Создает и запускает на исполнение
- '%TEMP%\marpackcheck_iros.exe'
- '%ProgramFiles(x86)%\markany\maepscourt\macourtcertmgr.exe'
- '%ProgramFiles(x86)%\markany\maepscourt\crimgr_lite.exe' -i "macourtsafer" "%ProgramFiles(x86)%\markany\maepscourt\macourtsafer.exe"
- '%ProgramFiles(x86)%\markany\maepscourt\crimgr_lite.exe' -i "rprtregisterxctrl" "%ProgramFiles(x86)%\markany\maepscourt\rprtregisterxctrl.exe"
- '%ProgramFiles(x86)%\markany\maepscourt\macourtsafer.exe'
- '%ProgramFiles(x86)%\markany\maepscourt\macourtsafersvc.exe' -remove
- '%ProgramFiles(x86)%\markany\maepscourt\macourtsafersvc.exe' -install
- '%ProgramFiles(x86)%\markany\maepscourt\macourtsafersvc.exe' -start
- '%ProgramFiles(x86)%\markany\maepscourt\macourtsafersvc.exe'
- '%WINDIR%\syswow64\macbfltinstall.exe' -i_v4_minif
- '%ProgramFiles(x86)%\markany\maepscourt\macourtsafersvc.exe' -remove' (со скрытым окном)
- '%ProgramFiles(x86)%\markany\maepscourt\macourtsafersvc.exe' -install' (со скрытым окном)
- '%ProgramFiles(x86)%\markany\maepscourt\macourtsafersvc.exe' -start' (со скрытым окном)
