Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\services\SCardSvr] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\services\MpsSvc] 'Start' = '00000002'
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im Nca_v4_certd.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im ca2_ace_certd.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im ca2_ace_mgr.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im iexplore.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im CertEnrollCtrl.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im java.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im javaw.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im javaws.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im jp2launcher.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im jusched.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im jucheck.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im jaureg.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im jqs.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im javacpl.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im FixCert.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im iTaxViewer.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im msiexec.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im ietabhelper.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im vnpt-ca_ace_mgr.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im Client_VersionUpdate.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im vnpt-ca_ace_certd.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im vina-cav6_manager.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im Nca_v4.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im Nca_v5.1_certd.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im Nca_v5.1.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im Nca_v6.0_certd.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im Nca_v6.0.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im nca3_certd.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im nca3.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im nca_v5_certd.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im nca_v5.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im nca_v9.0_certd.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im nca_v9.0.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im LCS-CAv1.0_certd.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im LCS-CAv1.0.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im vina-ca_certd.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im vina-ca_manager.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im vina-ca_updater.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im vina-cav6_certd.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im vina-cav6_updater.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im efyca_notifiy_service.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- iexplore.exe
Принудительно разрешает автозапуск со съемных носителей.
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-9t3gt.tmp\<Имя файла>.tmp
- %TEMP%\is-8vg7v.tmp\_isetup\_setup64.tmp
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\is-9t3gt.tmp\<Имя файла>.tmp' /SL5="$9024C,5312533,140288,<Полный путь к файлу>"
- '%WINDIR%\syswow64\taskkill.exe' /f /im iexplore.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im CertEnrollCtrl.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im java.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im javaw.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im javaws.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im jp2launcher.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im jusched.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im jucheck.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im jaureg.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im javacpl.exe' (со скрытым окном)
- '%WINDIR%\syswow64\wbem\wmic.exe' process where "name like '%myinvoiceSign%'" delete' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im FixCert.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im iTaxViewer.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im msiexec.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im ietabhelper.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im Client_VersionUpdate.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im efyca_notifiy_service.exe' (со скрытым окном)
- '%WINDIR%\syswow64\wbem\wmic.exe' process where "name like '%Nca%'" delete' (со скрытым окном)
- '%WINDIR%\syswow64\wbem\wmic.exe' process where "name like '%java%'" delete' (со скрытым окном)
- '%WINDIR%\syswow64\wbem\wmic.exe' process where "name like '%jp2launcher%'" delete' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im ca2_ace_mgr.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im jqs.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im ca2_ace_certd.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im nca_v5.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im Nca_v4_certd.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im Nca_v4.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im Nca_v5.1_certd.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im Nca_v5.1.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im Nca_v6.0_certd.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im Nca_v6.0.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im nca3_certd.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im nca3.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im nca_v5_certd.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im nca_v9.0_certd.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im vnpt-ca_ace_certd.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im nca_v9.0.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im LCS-CAv1.0_certd.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im LCS-CAv1.0.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im vina-ca_certd.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im vina-ca_manager.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im vina-ca_updater.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im vina-cav6_certd.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im vina-cav6_manager.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im vina-cav6_updater.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im vnpt-ca_ace_mgr.exe' (со скрытым окном)
- '%WINDIR%\syswow64\wbem\wmic.exe' process where "name like '%MsInvoice%'" delete' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\wbem\wmic.exe' process where "name like '%Nca%'" delete
- '%WINDIR%\syswow64\wbem\wmic.exe' process where "name like '%java%'" delete
- '%WINDIR%\syswow64\wbem\wmic.exe' process where "name like '%jp2launcher%'" delete
- '%WINDIR%\syswow64\wbem\wmic.exe' process where "name like '%myinvoiceSign%'" delete
- '%WINDIR%\syswow64\wbem\wmic.exe' process where "name like '%MsInvoice%'" delete
