Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\taskhost.exe' $(Arg0)
- '<SYSTEM32>\sdclt.exe' /CONFIGNOTIFICATION
- '<SYSTEM32>\wsqmcons.exe'
- '<SYSTEM32>\schtasks.exe' /delete /f /TN "Microsoft\Windows\Customer Experience Improvement Program\Uploader"
- '<SYSTEM32>\rundll32.exe' dfdts.dll,DfdGetDefaultPolicyAndSMART
- '<SYSTEM32>\ctfmon.exe'
- '<SYSTEM32>\makecab.exe' /V1 %TEMP%\\cryptbase.dll %TEMP%\\cryptbase.msu
- '<SYSTEM32>\wusa.exe' %TEMP%\\cryptbase.msu /extract:<SYSTEM32>\sysprep
- '<SYSTEM32>\sc.exe' start w32time task_started
- '<SYSTEM32>\sysprep\sysprep.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\sysprep\Panther\diagwrn.xml
- <SYSTEM32>\sysprep\Panther\diagerr.xml
- <SYSTEM32>\sysprep\$dpx$.tmp\316fa73e9a870845a2ca78ffe8950953.tmp
- C:\ProgramData\Microsoft\RAC\Temp\sqlBB25.tmp
- C:\ProgramData\Microsoft\RAC\Temp\sqlBAD6.tmp
- <SYSTEM32>\sysprep\Panther\setupact.log
- %TEMP%\cryptbase.msu
- %TEMP%\cab_4056_3
- %TEMP%\cab_4056_2
- %TEMP%\cryptbase.dll
- %TEMP%\cab_4056_5
- %TEMP%\cab_4056_6
- %TEMP%\cab_4056_4
Удаляет следующие файлы:
- <SYSTEM32>\sysprep\cryptbase.dll
- %TEMP%\cab_4056_6
- C:\ProgramData\Microsoft\RAC\Temp\sqlBAD6.tmp
- C:\ProgramData\Microsoft\RAC\Temp\sqlBB25.tmp
- %TEMP%\cab_4056_3
- %TEMP%\cab_4056_2
- %TEMP%\cab_4056_5
- %TEMP%\cab_4056_4
Перемещает следующие файлы:
- <SYSTEM32>\sysprep\$dpx$.tmp\316fa73e9a870845a2ca78ffe8950953.tmp в <SYSTEM32>\sysprep\cryptbase.dll
Самоперемещается:
- из <Полный путь к вирусу> в %TEMP%\45B6.tmp
Самоудаляется.
Сетевая активность:
UDP:
- DNS ASK ti##.#indows.com
- 'ti##.#indows.com':123
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
