Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\FSPFileOut] 'ImagePath' = '%TEMP%\FSPFileOut.sys'
Создает следующие сервисы
- 'FSPFileOut' %TEMP%\FSPFileOut.sys
Вредоносные функции
Регистрирует фильтр файловой системы
- [<HKLM>\System\CurrentControlSet\Services\FSPFileOut] 'Group' = 'FSFilter Activity Monitor'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\evba600.tmp
- %TEMP%\fspfileout.sys
- %TEMP%\sd_a64f\exepath\exepath.ini
- %TEMP%\sd_a64f\exepath.ini
- %TEMP%\sd_a64f\-)+¦+·¦ñ.pdf
- %TEMP%\sd_a64f\selfextract.exe
- %TEMP%\sd_a64f\sdextpolicy.lst
- %TEMP%\sd_a64f\watermarkconfig.ini
- %TEMP%\sd_a64f\fileredirectex.dll
- %TEMP%\sd_a64f\csp_soft.dll
- %TEMP%\sd_a64f\csp_crypto_dll.dll
- %TEMP%\sd_a64f\sd_assistp.dll
- %TEMP%\sd_a64f\fspfileout64.sys
- %TEMP%\sd_a64f\fspfileout.sys
- %TEMP%\sd_a64f\fspfileout.dll
- %TEMP%\sd_a64f\sdouthookloader64.exe
- %TEMP%\sd_a64f\sdouthookloader.exe
- %TEMP%\sd_a64f\sdouthook64.dll
- %TEMP%\sd_a64f\sdouthook.dll
- %TEMP%\sd_a64f\loaderinterface.dll
- %TEMP%\sd_a64f\impcontrol.dll
- %TEMP%\sd_a64f\fsp_printlimit64.dll
- %TEMP%\sd_a64f\fsp_printlimit.dll
- %TEMP%\sd_a64f\fsp_notice.dll
- %TEMP%\sd_a64f\decreseprint.exe
- %TEMP%\sd_a64f\sdcommonex.dll
- %TEMP%\sd_a64f\sdcommon.dll
- %TEMP%\sd_a64f\sdextclient.exe
- C:\users\public\documents\eetrust\operationrecord.lst
- %WINDIR%\temp\uddaf90.tmp
Удаляет следующие файлы
- %TEMP%\sd_a64f\exepath.ini
- %WINDIR%\temp\uddaf90.tmp
Другое
Создает и запускает на исполнение
- '%TEMP%\sd_a64f\sdextclient.exe'
