Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\UnlockerDriver5] 'ImagePath' = '%PROGRAM_FILES%\Unlocker\UnlockerDriver5.sys'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\RarSFX0\Unlocker.exe' -y -fm0
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' /S "%PROGRAM_FILES%\Unlocker\UnlockerCOM.dll"
- '<SYSTEM32>\reg.exe' Add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Unlocker" /v "Publisher" /t REG_SZ /d "Cedrick Collomb" /f
- '<SYSTEM32>\reg.exe' Add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Unlocker" /v "URLInfoAbout" /t REG_SZ /d "http://un#####r.emptyloop.com/" /f
- '<SYSTEM32>\reg.exe' Add "HKLM\SYSTEM\ControlSet001\Services\UnlockerDriver5" /v "ImagePath" /t REG_SZ /d "\??\%PROGRAM_FILES%\Unlocker\UnlockerDriver5.sys" /f
- '<SYSTEM32>\reg.exe' Add "HKLM\SYSTEM\CurrentControlSet\Services\UnlockerDriver5" /v "Type" /t REG_DWORD /d "0x00000001" /f
- '<SYSTEM32>\reg.exe' Add "HKLM\SYSTEM\CurrentControlSet\Services\UnlockerDriver5" /v "ImagePath" /t REG_SZ /d "\??\%PROGRAM_FILES%\Unlocker\UnlockerDriver5.sys" /f
- '<SYSTEM32>\reg.exe' Add "HKLM\SYSTEM\ControlSet001\Services\UnlockerDriver5" /v "Type" /t REG_DWORD /d "0x00000001" /f
- '<SYSTEM32>\reg.exe' Add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Unlocker" /v "Language" /t REG_SZ /d "1049" /f
- '<SYSTEM32>\reg.exe' Add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\Unlocker.exe" /ve /t REG_SZ /d "%PROGRAM_FILES%\Unlocker\Unlocker.exe" /f
- '<SYSTEM32>\xcopy.exe' x86\* "%PROGRAM_FILES%\Unlocker\" /s /e /i /y
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\7ZipSfx.000\setup.bat" x86"
- '<SYSTEM32>\reg.exe' Add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Unlocker" /v "DisplayVersion" /t REG_SZ /d "1.9.1" /f
- '<SYSTEM32>\reg.exe' Add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Unlocker" /v "UninstallString" /t REG_SZ /d "%PROGRAM_FILES%\Unlocker\uninst.exe" /f
- '<SYSTEM32>\reg.exe' Add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Unlocker" /v "DisplayIcon" /t REG_SZ /d "%PROGRAM_FILES%\Unlocker\Unlocker.exe" /f
- '<SYSTEM32>\reg.exe' Add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Unlocker" /v "DisplayName" /t REG_SZ /d "Unlocker 1.9.1" /f
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\7ZipSfx.000\x86\UnlockerDriver5.sys
- %TEMP%\7ZipSfx.000\x64\UnlockerDriver5.sys
- %TEMP%\7ZipSfx.000\x64\UnlockerCOM.dll
- %PROGRAM_FILES%\Unlocker\uninst.exe
- %PROGRAM_FILES%\Unlocker\UnlockerDriver5.sys
- %PROGRAM_FILES%\Unlocker\UnlockerCOM.dll
- %PROGRAM_FILES%\Unlocker\Unlocker.exe
- %TEMP%\7ZipSfx.000\x86\UnlockerCOM.dll
- %TEMP%\7ZipSfx.000\x64\uninst.exe
- %TEMP%\7ZipSfx.000\setup.bat
- %TEMP%\RarSFX0\Unlocker.exe
- %TEMP%\7ZipSfx.000\x86\uninst.exe
- %TEMP%\7ZipSfx.000\x64\UnlockerInject32.exe
- %TEMP%\7ZipSfx.000\x86\Unlocker.exe
- %TEMP%\7ZipSfx.000\x64\Unlocker.exe
Удаляет следующие файлы:
- %TEMP%\7ZipSfx.000\x86\Unlocker.exe
- %TEMP%\7ZipSfx.000\x86\uninst.exe
- %TEMP%\7ZipSfx.000\x86\UnlockerCOM.dll
- %TEMP%\RarSFX0\Unlocker.exe
- %TEMP%\7ZipSfx.000\x86\UnlockerDriver5.sys
- %TEMP%\7ZipSfx.000\x64\UnlockerInject32.exe
- %TEMP%\7ZipSfx.000\x64\uninst.exe
- %TEMP%\7ZipSfx.000\setup.bat
- %TEMP%\7ZipSfx.000\x64\Unlocker.exe
- %TEMP%\7ZipSfx.000\x64\UnlockerDriver5.sys
- %TEMP%\7ZipSfx.000\x64\UnlockerCOM.dll
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
