Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\PitayaService] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\Pitaya\PitayaServer.exe'
- '%PROGRAM_FILES%\Pitaya\PitayaServer.exe' /install /SILENT
- '%TEMP%\is-A4QEI.tmp\<Имя вируса>.tmp' /SL5="$40036,1192309,53248,<Полный путь к вирусу>"
Запускает на исполнение:
- '<SYSTEM32>\net1.exe' stop dnscache
- '<SYSTEM32>\net1.exe' start dnscache
- '<SYSTEM32>\svchost.exe' -k NetworkService
- '<SYSTEM32>\net.exe' stop dnscache
- '<SYSTEM32>\taskkill.exe' /F /im MgIe.exe
- '<SYSTEM32>\taskkill.exe' /F /im PitayaServer.exe
- '<SYSTEM32>\taskkill.exe' /F /im Pitaya.exe
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\Pitaya\images\is-DRUMV.tmp
- %PROGRAM_FILES%\Pitaya\images\is-S3477.tmp
- %PROGRAM_FILES%\Pitaya\images\is-68UIQ.tmp
- %PROGRAM_FILES%\Pitaya\images\is-C34VH.tmp
- %PROGRAM_FILES%\Pitaya\images\is-85H1A.tmp
- %PROGRAM_FILES%\Pitaya\images\is-S4A1I.tmp
- %PROGRAM_FILES%\Pitaya\is-5I4G0.tmp
- %PROGRAM_FILES%\Pitaya\Pitaya.Url
- %PROGRAM_FILES%\Pitaya\unins000.dat
- C:\debug_log.txt
- %PROGRAM_FILES%\Pitaya\is-P7KI8.tmp
- %PROGRAM_FILES%\Pitaya\is-MH9EK.tmp
- %ALLUSERSPROFILE%\Desktop\ІЖё»ИЛЙъ.url
- %TEMP%\is-7R7U5.tmp\urlnetGet.dll
- %PROGRAM_FILES%\Pitaya\is-8HUCV.tmp
- %PROGRAM_FILES%\Pitaya\is-38LO8.tmp
- %TEMP%\is-A4QEI.tmp\<Имя вируса>.tmp
- %TEMP%\is-7R7U5.tmp\_isetup\_RegDLL.tmp
- %TEMP%\is-7R7U5.tmp\_isetup\_shfoldr.dll
- %PROGRAM_FILES%\Pitaya\is-OTLMS.tmp
- %PROGRAM_FILES%\Pitaya\images\is-U1N0J.tmp
- %PROGRAM_FILES%\Pitaya\images\is-75PMU.tmp
- %PROGRAM_FILES%\Pitaya\images\is-K35UQ.tmp
- %PROGRAM_FILES%\Pitaya\is-B5LFC.tmp
- %PROGRAM_FILES%\Pitaya\is-NFS62.tmp
- %PROGRAM_FILES%\Pitaya\images\is-IID4P.tmp
Удаляет следующие файлы:
- %TEMP%\is-7R7U5.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-A4QEI.tmp\<Имя вируса>.tmp
- %TEMP%\is-7R7U5.tmp\urlnetGet.dll
- %TEMP%\is-7R7U5.tmp\_isetup\_RegDLL.tmp
Перемещает следующие файлы:
- %PROGRAM_FILES%\Pitaya\images\is-S4A1I.tmp в %PROGRAM_FILES%\Pitaya\images\img_33.gif
- %PROGRAM_FILES%\Pitaya\images\is-DRUMV.tmp в %PROGRAM_FILES%\Pitaya\images\img_42.gif
- %PROGRAM_FILES%\Pitaya\images\is-C34VH.tmp в %PROGRAM_FILES%\Pitaya\images\img_26.gif
- %PROGRAM_FILES%\Pitaya\images\is-85H1A.tmp в %PROGRAM_FILES%\Pitaya\images\img_30.gif
- %PROGRAM_FILES%\Pitaya\images\is-S3477.tmp в %PROGRAM_FILES%\Pitaya\images\off.gif
- %PROGRAM_FILES%\Pitaya\is-P7KI8.tmp в %PROGRAM_FILES%\Pitaya\SPIFilter.dll
- %PROGRAM_FILES%\Pitaya\is-MH9EK.tmp в %PROGRAM_FILES%\Pitaya\cai.ico
- %PROGRAM_FILES%\Pitaya\images\is-68UIQ.tmp в %PROGRAM_FILES%\Pitaya\images\we.gif
- %PROGRAM_FILES%\Pitaya\is-5I4G0.tmp в %PROGRAM_FILES%\Pitaya\SPIServerDLL.dll
- %PROGRAM_FILES%\Pitaya\is-OTLMS.tmp в %PROGRAM_FILES%\Pitaya\PitayaServer.exe
- %PROGRAM_FILES%\Pitaya\is-B5LFC.tmp в %PROGRAM_FILES%\Pitaya\AutoUpdate.exe
- %PROGRAM_FILES%\Pitaya\is-8HUCV.tmp в %PROGRAM_FILES%\Pitaya\unins000.exe
- %PROGRAM_FILES%\Pitaya\is-38LO8.tmp в %PROGRAM_FILES%\Pitaya\Pitaya.exe
- %PROGRAM_FILES%\Pitaya\is-NFS62.tmp в %PROGRAM_FILES%\Pitaya\HOME.HTML
- %PROGRAM_FILES%\Pitaya\images\is-75PMU.tmp в %PROGRAM_FILES%\Pitaya\images\img_13.gif
- %PROGRAM_FILES%\Pitaya\images\is-K35UQ.tmp в %PROGRAM_FILES%\Pitaya\images\img_22.gif
- %PROGRAM_FILES%\Pitaya\images\is-IID4P.tmp в %PROGRAM_FILES%\Pitaya\images\img_03.jpg
- %PROGRAM_FILES%\Pitaya\images\is-U1N0J.tmp в %PROGRAM_FILES%\Pitaya\images\img_05.gif
Сетевая активность:
Подключается к:
- 'cf.#f52.com':80
TCP:
Запросы HTTP GET:
- cf.#f52.com/code/C_MgIE_C.asp?ty#########################
UDP:
- DNS ASK c1.###e.cnnuo.com
- DNS ASK ma##.##rvice.cnnuo.com
- DNS ASK cf.#f52.com
- DNS ASK ma##.#yie.cnnuo.com
- 'c1.###e.cnnuo.com':7788
- 'ma##.#yie.cnnuo.com':7788
Другое:
Ищет следующие окна:
- ClassName: 'XFrame_Wnd' WindowName: ''
- ClassName: 'TT_WebCtrl' WindowName: ''
- ClassName: 'Container' WindowName: ''
- ClassName: 'Maxthon2_View' WindowName: ''
- ClassName: 'SE_AxControl' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'IEFrame' WindowName: ''
- ClassName: 'TCnNuoIEBrowser' WindowName: ''
