Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- tune-up part 1.exe
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'FileMonClass', WindowName: ''
- ClassName: 'RegMonClass', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- C:\toolbox\app\c1c2l3e4a5n6e7r8.exe
- C:\toolbox\exe\regrandom.exe
- C:\toolbox\exe\subst.exe
- C:\toolbox\exe\tempdelete.exe
- C:\toolbox\plumstrp.exe
- C:\toolbox\safelink tools.exe
- C:\toolbox\script\create-restore-pointallos.vbs
- C:\toolbox\script\enablesysrestorevista7.vbs
- C:\toolbox\script\enablesysrestorexp.vbs
- C:\toolbox\app\portable.dat
- C:\toolbox\tools.mdb
- %TEMP%\08ed0313-8cbd-5c4d-adea-311429c32fec\tune-up part 1.exe
- %TEMP%\2f55139c.tmp
- %TEMP%\08ed0313-8cbd-5c4d-adea-311429c32fec\aa_myvb.vbs
- %TEMP%\08ed0313-8cbd-5c4d-adea-311429c32fec\aa_myjs.js
- %TEMP%\08ed0313-8cbd-5c4d-adea-311429c32fec\_$$sscriptenablesysrestorexp.vbs
- %TEMP%\08ed0313-8cbd-5c4d-adea-311429c32fec\_$$sscriptcreate-restore-pointallos.vbs
- %TEMP%\08ed0313-8cbd-5c4d-adea-311429c32fec\mswinsck.ocx
- %TEMP%\08ed0313-8cbd-5c4d-adea-311429c32fec\repository.dat
- C:\toolbox\exe\mbam post.exe
- C:\toolbox\exe\mbam pre.exe
- C:\toolbox\exe\hj7run.exe
- C:\toolbox\exe\disablescrxp.exe
- C:\toolbox\exe\disablescrvista.exe
- C:\toolbox\app\cmd.exe
- C:\toolbox\app\cprocess.chm
- C:\toolbox\app\cprocess.exe
- C:\toolbox\app\cprocess.txt
- C:\toolbox\app\fixexe.reg
- C:\toolbox\app\h1j2.exe
- C:\toolbox\app\hosts
- C:\toolbox\app\m1b2a3m4.exe
- %TEMP%\29b0e66c-bc7c-ac4d-9a2a-4da5ab554193.@@@@
- C:\toolbox\tune-up part 1.exe
- C:\toolbox\app\m1b2a3m4r5u6n7.exe
- C:\toolbox\app\startupcontrol.exe
- C:\toolbox\app\unicows.dll
- C:\toolbox\exe\caclsallowanddelete.exe
- C:\toolbox\exe\caclsdenyaccess.exe
- C:\toolbox\exe\checkieversion.exe
- C:\toolbox\exe\checkmbam.exe
- C:\toolbox\exe\checkwindowsversion.exe
- C:\toolbox\exe\createrestorepointvista7.exe
- C:\toolbox\app\ccleaner.ini
- C:\toolbox\app\ries.msi
- %TEMP%\401e5c5a-9afc-f246-9805-e904ba0da742.$$$$
Удаляет следующие файлы
- %TEMP%\29b0e66c-bc7c-ac4d-9a2a-4da5ab554193.@@@@
Другое
Ищет следующие окна
- ClassName: '' WindowName: 'Nmta'
Создает и запускает на исполнение
- 'C:\toolbox\tune-up part 1.exe'
- '%TEMP%\08ed0313-8cbd-5c4d-adea-311429c32fec\tune-up part 1.exe' "/AdminEXE "
Запускает на исполнение
- '%WINDIR%\syswow64\regsvr32.exe' /s "%TEMP%\08ED0313-8CBD-5C4D-ADEA-311429C32FEC\MSWINSCK.OCX" (со скрытым окном)
