Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\spoolsv] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\svchost] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '<DRIVERS>\svc\svchost.exe' <DRIVERS>\svc\svchost.dll
- '<DRIVERS>\svc\svchost.exe'
- '<DRIVERS>\svc\spoolsv.exe' <DRIVERS>\svc\winini.dll
- '<DRIVERS>\svc\firedaemon.exe' -i svchost "<DRIVERS>\svc" "<DRIVERS>\svc\svchost.exe" "<DRIVERS>\svc\svchost.dll" Y 0 0 Y Y
- '<DRIVERS>\svc\firedaemon.exe' -i spoolsv "<DRIVERS>\svc" "<DRIVERS>\svc\spoolsv.exe" "<DRIVERS>\svc\winini.dll" Y 0 0 Y Y
- '<DRIVERS>\svc\firedaemon.exe'
Запускает на исполнение:
- '<SYSTEM32>\attrib.exe' <DRIVERS>\svc\firedaemon.exe +H +S
- '<SYSTEM32>\attrib.exe' <DRIVERS>\svc\svchost.dll +H +S
- '<SYSTEM32>\net1.exe' start spoolsv
- '<SYSTEM32>\net1.exe' start svchost
- '<SYSTEM32>\attrib.exe' <DRIVERS>\svc\winini.dll +H +S
- '<SYSTEM32>\attrib.exe' <DRIVERS>\svc\spoolsv.exe +H +S
- '<SYSTEM32>\attrib.exe' <DRIVERS>\svc\svchost.exe +H +S
- '<SYSTEM32>\attrib.exe' <DRIVERS>\svc\cygwin1.dll +H +S
- '<SYSTEM32>\attrib.exe' <DRIVERS>\svc\cygcrypt-0.dll +H +S
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\WER026b.dir00\FireDaemon.EXE.hdmp
- %TEMP%\WER026b.dir00\appcompat.txt
- %TEMP%\WER026b.dir00\FireDaemon.EXE.mdmp
- <DRIVERS>\svc\system.pid
- %TEMP%\WER22f4.dir00\appcompat.txt
- %TEMP%\WER22f4.dir00\manifest.txt
- %TEMP%\WER22f4.dir00\FireDaemon.EXE.hdmp
- %TEMP%\WER026b.dir00\manifest.txt
- %TEMP%\WER22f4.dir00\FireDaemon.EXE.mdmp
- <DRIVERS>\svc\system.state.tmp
- <Текущая директория>\cygcrypt-0.dll
- <Текущая директория>\spoolsv.exe
- <Текущая директория>\firedaemon.exe
- <Текущая директория>\svchost.exe
- <Текущая директория>\cygwin1.dll
- <DRIVERS>\svc\cygwin1.dll
- <DRIVERS>\svc\system.log
- <Текущая директория>\svchost.dll
- <Текущая директория>\start.bat
- <Текущая директория>\winini.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- <DRIVERS>\svc\winini.dll
- <DRIVERS>\svc\svchost.dll
- <DRIVERS>\svc\firedaemon.exe
- <DRIVERS>\svc\cygwin1.dll
- <DRIVERS>\svc\svchost.exe
- <DRIVERS>\svc\spoolsv.exe
- <DRIVERS>\svc\cygcrypt-0.dll
Перемещает следующие файлы:
- <Текущая директория>\cygcrypt-0.dll в <DRIVERS>\svc\cygcrypt-0.dll
- <Текущая директория>\svchost.dll в <DRIVERS>\svc\svchost.dll
- <DRIVERS>\svc\system.state.tmp в <DRIVERS>\svc\system.state
- <Текущая директория>\cygwin1.dll в <Текущая директория>\winsystem.dll
- <Текущая директория>\svchost.exe в <DRIVERS>\svc\svchost.exe
- <Текущая директория>\firedaemon.exe в <DRIVERS>\svc\firedaemon.exe
- <Текущая директория>\spoolsv.exe в <DRIVERS>\svc\spoolsv.exe
- <Текущая директория>\winini.dll в <DRIVERS>\svc\winini.dll
Сетевая активность:
Подключается к:
- 'localhost':1091
- 'localhost':1089
- 'localhost':1093
- 'localhost':1097
- 'localhost':1095
- 'localhost':1088
- 'localhost':1081
- 'localhost':1079
- 'localhost':1083
- 'localhost':1087
- 'localhost':1085
- 'localhost':1099
- 'localhost':1115
- 'localhost':1114
- 'localhost':1116
- 'localhost':1120
- 'localhost':1118
- 'localhost':1112
- 'localhost':1104
- 'localhost':1101
- 'localhost':1106
- 'localhost':1110
- 'localhost':1108
- 'localhost':1049
- 'localhost':1047
- 'localhost':1051
- 'localhost':1054
- 'vi###87.ath.cx':6667
- 'localhost':1045
- 'localhost':1037
- 'localhost':1036
- 'localhost':1038
- 'localhost':1043
- 'localhost':1041
- 'localhost':1056
- 'localhost':1070
- 'localhost':1068
- 'localhost':1072
- 'localhost':1077
- 'localhost':1074
- 'localhost':1066
- 'localhost':1060
- 'localhost':1058
- 'localhost':1062
- 'localhost':1065
- 'localhost':1064
UDP:
- DNS ASK vi###87.ath.cx
