Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'csrss' = '"%CommonProgramFiles%\System\en-US\csrss.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'csrss' = '"%CommonProgramFiles%\System\en-US\csrss.exe"'
- [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "%CommonProgramFiles%\System\en-US\csrss.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'firefox' = '"%ProgramFiles(x86)%\Windows Media Player\Visualizations\firefox.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'firefox' = '"%ProgramFiles(x86)%\Windows Media Player\Visualizations\firefox.exe"'
- [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "%CommonProgramFiles%\System\en-US\csrss.exe", "%ProgramFiles(x86)%\Windows Media Player\Visualizations\fir...
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'dwm' = '"%WINDIR%\Downloaded Program Files\dwm.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'dwm' = '"%WINDIR%\Downloaded Program Files\dwm.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"C:\kms\iexplore.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"C:\kms\iexplore.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'firefox' = '"%WINDIR%\Media\Delta\firefox.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'firefox' = '"%WINDIR%\Media\Delta\firefox.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '"<Полный путь к файлу>"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '"<Полный путь к файлу>"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\csrssc
- <SYSTEM32>\tasks\csrss
- <SYSTEM32>\tasks\firefoxf
- <SYSTEM32>\tasks\firefox
- <SYSTEM32>\tasks\dwmd
- <SYSTEM32>\tasks\iexplorei
- <SYSTEM32>\tasks\iexplore
- <SYSTEM32>\tasks\dwm
- <SYSTEM32>\tasks\<Имя файла>
- <SYSTEM32>\tasks\<Имя файла>p
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%CommonProgramFiles%\System\en-US\csrss.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%ProgramFiles(x86)%\Windows Media Player\Visualizations\firefox.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%WINDIR%\Downloaded Program Files\dwm.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\kms\iexplore.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Полный путь к файлу>'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%WINDIR%\Media\Delta\firefox.exe'
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\873dd73770f8be
- %HOMEPATH%\desktop\jlcowvkt.log
- %HOMEPATH%\desktop\dsuybfke.log
- nul
- %TEMP%\pxyvbm7yyv.bat
- %TEMP%\x4hzxgvzpj
- %TEMP%\cai3rizg.out
- %TEMP%\cai3rizg.cmdline
- %TEMP%\cai3rizg.0.cs
- %HOMEPATH%\desktop\zcjymsfl.log
- %CommonProgramFiles%\system\en-us\886983d96e3d3e
- %ProgramFiles(x86)%\windows media player\visualizations\0fc223bdacedc3
- %ProgramFiles(x86)%\windows media player\visualizations\firefox.exe
- %WINDIR%\downloaded program files\6cb0b6c459d5d3
- %WINDIR%\downloaded program files\dwm.exe
- C:\kms\9db6e019d4f04e
- C:\kms\iexplore.exe
- %WINDIR%\media\delta\0fc223bdacedc3
- %WINDIR%\media\delta\firefox.exe
- %CommonProgramFiles%\system\en-us\csrss.exe
- %HOMEPATH%\desktop\ivstsgzx.log
Удаляет следующие файлы
- %TEMP%\cai3rizg.out
- %TEMP%\cai3rizg.0.cs
- %TEMP%\cai3rizg.cmdline
- %TEMP%\x4hzxgvzpj
Перемещает следующие файлы
- %ProgramFiles%\microsoft office\office14\bcssync.exe в %ProgramFiles%\microsoft office\office14\bcssync.exe.exe
Другое
Создает и запускает на исполнение
- '%WINDIR%\downloaded program files\dwm.exe'
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 14 /tr "'%CommonProgramFiles%\System\en-US\csrss.exe'" /f
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\PXyVbM7yYv.bat" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>p" /sc MINUTE /mo 9 /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>" /sc ONLOGON /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>p" /sc MINUTE /mo 8 /tr "'<Полный путь к файлу>'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 8 /tr "'%WINDIR%\Media\Delta\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'%WINDIR%\Media\Delta\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 9 /tr "'%WINDIR%\Media\Delta\firefox.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 12 /tr "'C:\kms\iexplore.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'C:\kms\iexplore.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 10 /tr "'C:\kms\iexplore.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "dwmd" /sc MINUTE /mo 8 /tr "'%WINDIR%\Downloaded Program Files\dwm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "dwm" /sc ONLOGON /tr "'%WINDIR%\Downloaded Program Files\dwm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "dwmd" /sc MINUTE /mo 6 /tr "'%WINDIR%\Downloaded Program Files\dwm.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 10 /tr "'%ProgramFiles(x86)%\Windows Media Player\Visualizations\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Windows Media Player\Visualizations\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 13 /tr "'%ProgramFiles(x86)%\Windows Media Player\Visualizations\firefox.exe'" /f
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\cai3rizg.cmdline" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 7 /tr "'%CommonProgramFiles%\System\en-US\csrss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'%CommonProgramFiles%\System\en-US\csrss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\ping.exe' -n 10 localhost
