Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /f /im persfw.exe
- '<SYSTEM32>\net1.exe' stop PersFw
- '<SYSTEM32>\net1.exe' stop SmcService
- '<SYSTEM32>\net.exe' stop SmcService
- '<SYSTEM32>\net.exe' stop PersFw
- '<SYSTEM32>\net1.exe' stop OutpostFirewal
- '<SYSTEM32>\net.exe' stop OutpostFirewal
- '<SYSTEM32>\taskkill.exe' /f /im feedback.exe
- '<SYSTEM32>\taskkill.exe' /f /im outpost.exe
- '<SYSTEM32>\taskkill.exe' /f /im firewall*
- '<SYSTEM32>\taskkill.exe' /f /im virus*
- '<SYSTEM32>\taskkill.exe' /f /im anti*
- '<SYSTEM32>\taskkill.exe' /f /im avg*
- '<SYSTEM32>\taskkill.exe' /f /im vsmon.exe
- '<SYSTEM32>\net.exe' stop vsmon
- '<SYSTEM32>\taskkill.exe' /f /im SMC.EXE
- '<SYSTEM32>\taskkill.exe' /f /im zlclient.exe
- '<SYSTEM32>\net1.exe' stop vsmon
- '<SYSTEM32>\taskkill.exe' /f /im CavSn.exe
- '<SYSTEM32>\net1.exe' stop SharedAccess
- '<SYSTEM32>\net.exe' stop SharedAccess
- '<SYSTEM32>\net.exe' stop CmdAgent
- '<SYSTEM32>\sc.exe' config wscsvc start= disabled
- '<SYSTEM32>\net1.exe' stop wscsvc
- '<SYSTEM32>\net.exe' stop "central de seguranчa"
- '<SYSTEM32>\cmd.exe' /c "%APPDATA%\Adobe\_.bat"
- '<SYSTEM32>\net.exe' stop wscsvc
- '<SYSTEM32>\net1.exe' stop "central de seguranчa"
- '<SYSTEM32>\taskkill.exe' /f /im CMain.exe
- '<SYSTEM32>\taskkill.exe' /f /im CLPTray.exe
- '<SYSTEM32>\taskkill.exe' /f /im cavasm.exe
- '<SYSTEM32>\taskkill.exe' /f /im Cavaud.exe
- '<SYSTEM32>\taskkill.exe' /f /im CPF.exe
- '<SYSTEM32>\net.exe' stop "Comodo Anti-Virus and Anti-Spyware Service"
- '<SYSTEM32>\net1.exe' stop CmdAgent
- '<SYSTEM32>\taskkill.exe' /f /im cmdagent.exe
- '<SYSTEM32>\net1.exe' stop "Comodo Anti-Virus and Anti-Spyware Service"
Завершает или пытается завершить
следующие пользовательские процессы:
- AVGCC32.EXE
- AVGCTRL.EXE
- outpost.exe
- avgcc.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Adobe\crrss.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\iefillform[1].ccc
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\iefillform[1].ccc
- %APPDATA%\Adobe\_.bat
- %APPDATA%\Adobe\crrss.txt
- %APPDATA%\Adobe\atom
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\iefillform[1].ccc
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\iefillform[1].ccc
Сетевая активность:
Подключается к:
- 'fo#####.servehttp.com':80
TCP:
Запросы HTTP GET:
- fo#####.servehttp.com/iefillform.ccc
UDP:
- DNS ASK fo#####.servehttp.com
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
