Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\JavaIFX] 'Start' = '00000002'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%WINDIR%\java\JavaIFX\spoolsv.exe' = '%WINDIR%\java\JavaIFX\spoolsv.exe:*:Enabled:Unspecified'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'
Создает и запускает на исполнение:
- '%WINDIR%\java\JavaIFX\spoolsv.exe' javaifx.cntrl
- '%WINDIR%\java\JavaIFX\spoolsv.exe'
- '%WINDIR%\java\JavaIFX\services.exe'
- '%WINDIR%\java\JavaIFX\JIFX.exe'
- '%WINDIR%\java\JavaIFX\services.exe' -i
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall set notifications disable
- '<SYSTEM32>\netsh.exe' firewall set allowedprogram %WINDIR%\java\javaifx\spoolsv.exe
- '<SYSTEM32>\net1.exe' start JavaIFX
- '<SYSTEM32>\netsh.exe' firewall set portopening tcp 1024 spoolsv enable all
- '<SYSTEM32>\cmd.exe' /c ""%WINDIR%\java\JavaIFX\update.bat" "
- '<SYSTEM32>\attrib.exe' +S +h %WINDIR%\java\javaifx
- '<SYSTEM32>\attrib.exe' +S +h %WINDIR%\java\javaifx\security
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\java\JavaIFX\services.ini
- %WINDIR%\java\JavaIFX\services.log
- %WINDIR%\java\JavaIFX\spoolsv.exe
- %TEMP%\bt3740.bat
- %WINDIR%\java\JavaIFX\JavaIFX.dll
- %WINDIR%\java\JavaIFX\JavaIFXL.dll
- %WINDIR%\java\JavaIFX\JavaIFX.Status.tmp
- %WINDIR%\java\JavaIFX\cygcrypt-0.dll
- %WINDIR%\java\JavaIFX\cygwin1.dll
- %WINDIR%\java\JavaIFX\update.bat
- %WINDIR%\java\JavaIFX\dir.bat
- %WINDIR%\java\JavaIFX\name.bat
- %WINDIR%\java\JavaIFX\services.exe
- %WINDIR%\java\JavaIFX\javaifx.cntrl
- %WINDIR%\java\JavaIFX\JIFX.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\bt3740.bat
Удаляет следующие файлы:
- %TEMP%\bt3740.bat
- %WINDIR%\java\JavaIFX\JIFX.exe
- %WINDIR%\java\JavaIFX\name.bat
Перемещает следующие файлы:
- %WINDIR%\java\JavaIFX\JavaIFX.Status.tmp в %WINDIR%\java\JavaIFX\JavaIFX.Status
Сетевая активность:
Подключается к:
- 'localhost':1049
- 'localhost':1048
- 'localhost':1052
- 'localhost':1051
- 'localhost':1046
- 'localhost':1041
- 'localhost':1040
- 'localhost':1045
- 'ir#.##t-assylum.org':6667
UDP:
- DNS ASK ir#.##t-assylum.org
- 'localhost':1042
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
