Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '1SPC' = '%ALLUSERSPROFILE%\spc\services.exe'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
изменяет следующие системные настройки:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoClose' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'StartMenuLogOff' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoLogOff' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoRun' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoChangeStartMenu' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoSetFolders' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoControlPanel' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoViewOnDrive' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoDrives' = '00000000'
Изменяет следующие настройки браузера Windows Internet Explorer
- [<HKCU>\SOFTWARE\Microsoft\Internet Explorer\Download\] 'RunInvalidSignatures' = '00000001'
- [<HKCU>\SOFTWARE\Microsoft\Internet Explorer\Download] 'CheckExeSignatures' = 'no'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Associations] 'LowRiskFileTypes' = '.zip;.rar;.nfo;.txt;.exe;.bat;.com;.cmd;.reg;.msi;.htm;.html;.gif;.bmp;.jpg;.avi;.mpg;.mpeg;.mov;....
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\spc\services.exe
- %ALLUSERSPROFILE%\spc\spc-debug.txt
- %ALLUSERSPROFILE%\spc\cfg\spcopts.dat
- %ALLUSERSPROFILE%\spc\ex.bat
- %ALLUSERSPROFILE%\spc\cfg\user-acu.dat
Присваивает атрибут 'скрытый' для следующих файлов
- %ALLUSERSPROFILE%\spc\services.exe
Удаляет следующие файлы
- %ALLUSERSPROFILE%\spc\ex.bat
Сетевая активность
Подключается к
- 'sp#######mes.s3.amazonaws.com':443
- 'x.##2.us':80
- 'microsoft.com':80
- 'o.##2.us':80
- 'oc##.###tg2.amazontrust.com':80
- 'cr#.####g2.amazontrust.com':80
- 'oc##.####ca1.amazontrust.com':80
- 'se####pconline.com':443
- 'cr#.####ca1.amazontrust.com':80
- 'oc##.###1b.amazontrust.com':80
- 'cr#.####b.amazontrust.com':80
TCP
Запросы HTTP GET
- http://x.##2.us/x.cer
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
- http://o.##2.us//MEowSDBGMEQwQjAJBgUrDgMCGgUABBSLwZ6EW5gdYc9UaSEaaLjjETNtkAQUv1%2B30c7dH4b0W1Ws3NcQwg6piOcCCQCnDkpMNIK3fw%3D%3D
- http://cr#.####g2.amazontrust.com/rootg2.crl
- http://oc##.####ca1.amazontrust.com/MFQwUjBQME4wTDAJBgUrDgMCGgUABBRPWaOUU8%2B5VZ5%2Fa9jFTaU9pkK3FAQUhBjMhTTsvAyUlC4IWZzHshBOCggCEwZ%2FlFeFh%2Bisd96yUzJbvJmLVg0%3D
- http://cr#.####ca1.amazontrust.com/rootca1.crl
- http://oc##.###1b.amazontrust.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBQz9arGHWbnBV0DFzpNHz4YcTiFDQQUWaRmBlKge5WSPKOUByeWdFv5PdACEAVL1gMr%2FjlE2g4dOrj6zNg%3D
- http://cr#.####b.amazontrust.com/sca1b-1.crl
- http://oc##.###tg2.amazontrust.com/MFQwUjBQME4wTDAJBgUrDgMCGgUABBSIfaREXmfqfJR3TkMYnD7O5MhzEgQUnF8A36oB1zArOIiiuG1KnPIRkYMCEwZ%2FlEoqJ83z%2BsKuKwH5CO65xMY%3D
Другие
- 'sp#######mes.s3.amazonaws.com':443
- 'se####pconline.com':443
UDP
- DNS ASK sp#######mes.s3.amazonaws.com
- DNS ASK x.##2.us
- DNS ASK microsoft.com
- DNS ASK o.##2.us
- DNS ASK oc##.###tg2.amazontrust.com
- DNS ASK cr#.####g2.amazontrust.com
- DNS ASK oc##.####ca1.amazontrust.com
- DNS ASK se####pconline.com
- DNS ASK cr#.####ca1.amazontrust.com
- DNS ASK oc##.###1b.amazontrust.com
- DNS ASK cr#.####b.amazontrust.com
Другое
Ищет следующие окна
- ClassName: 'SentryPC_HWND32' WindowName: ''
- ClassName: 'Progman' WindowName: ''
- ClassName: 'SHELLDLL_DefView' WindowName: ''
- ClassName: 'SysListView32' WindowName: ''
- ClassName: 'Button' WindowName: ''
- ClassName: 'Button' WindowName: 'Start'
- ClassName: 'DV2ControlHost' WindowName: 'Start menu'
- ClassName: 'TrayNotifyWnd' WindowName: ''
- ClassName: 'TrayClockWClass' WindowName: ''
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\spc\services.exe'
- '%WINDIR%\syswow64\cmd.exe' /C "%ALLUSERSPROFILE%\spc\ex.bat"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C "%ALLUSERSPROFILE%\spc\ex.bat"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command "Start-Process powershell \"-ExecutionPolicy Bypass -inputformat none -outputformat none -NonInteractive -Command `\"Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%\spc'`\"\" -Verb ...
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -inputformat none -outputformat none -NonInteractive -Command "Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%\spc'"
