Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\DeviceSync] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\DeviceSync] 'ImagePath' = '%ALLUSERSPROFILE%\Microsoft\DeviceSync\MsMpEng.exe'
Создает следующие сервисы
- 'DeviceSync' %ALLUSERSPROFILE%\Microsoft\DeviceSync\MsMpEng.exe
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\svchost.exe
- %WINDIR%\syswow64\dllhost.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\$inst\2.tmp
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\progressbar_blue_active_100.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\progressbar_blue_active_125.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\progressbar_blue_active_150.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\transparent.gif
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\gray_button_200.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\close_200.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\progressbar_pole_null_200.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\progressbar_pole_null_100.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\progressbar_pole_null_125.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\progressbar_pole_null_150.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\yellow_button_200.png
- %ALLUSERSPROFILE%\microsoft\crypto\rsa\machinekeys\sgkey.data
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\yellow_button_100.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\yellow_button_150.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\yellow_button_mini_200.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\yellow_button_mini_100.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\yellow_button_mini_125.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\yellow_button_mini_150.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\yellow_button_short_200.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\yellow_button_short_100.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\yellow_button_short_125.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\yellow_button_short_150.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\info_icon_100.png
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\q1e129qo\sc[1]
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\progressbar_darkgray_base_100.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\progressbar_blue_active_200.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\progressbar_darkgray_base_200.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\status_icon_check_150.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\status_icon_check_125.png
- %ProgramFiles(x86)%\wpd.exe
- %ProgramFiles(x86)%\flashplayer18ax_ma_install.exe
- %ProgramFiles(x86)%\daobe\adobe flash player\uninstall.exe
- %ProgramFiles(x86)%\daobe\adobe flash player\uninstall.ini
- %TEMP%\adobe_admlogs\adobe_adm.log
- %TEMP%\rarsfx0\msmpeng.exe
- %TEMP%\rarsfx0\mpsvc.dll
- %TEMP%\rarsfx0\readme.txt
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\604pwz7f\160[1]
- %ALLUSERSPROFILE%\microsoft\devicesync\msmpeng.exe
- %ALLUSERSPROFILE%\microsoft\devicesync\mpsvc.dll
- %TEMP%\adobe_admlogs\adobe_gde.log
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\yellow_button_125.png
- %ALLUSERSPROFILE%\microsoft\devicesync\delete.txt
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\warning_icon_200.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\status_icon_caution_200.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\status_icon_caution_100.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\status_icon_caution_125.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\status_icon_caution_150.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\status_icon_x_200.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\status_icon_x_100.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\status_icon_x_125.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\status_icon_x_150.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\status_icon_check_200.png
- %LOCALAPPDATA%\adobe\81dcd0a6-3c37-44aa-934a-dbf390da3df7\status_icon_check_100.png
- %TEMP%\$inst\temp_0.tmp
- %ALLUSERSPROFILE%\microsoft\devicesync\mpsvc
- %ALLUSERSPROFILE%\microsoft\crypto\rsa\machinekeys\47338903
Удаляет следующие файлы
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\$inst\2.tmp
- %ProgramFiles(x86)%\wpd.exe
- %TEMP%\rarsfx0\mpsvc.dll
- %TEMP%\rarsfx0\msmpeng.exe
- %TEMP%\rarsfx0\readme.txt
- %ALLUSERSPROFILE%\microsoft\devicesync\delete.txt
Сетевая активность
Подключается к
- 'get.adobe.com':443
- 'th#####dbbs.ddns.net':80
TCP
Другие
- '34.##9.100.209':443
- 'get.adobe.com':443
UDP
- DNS ASK get.adobe.com
- DNS ASK ub####dns.sytes.net
- DNS ASK th#####dbbs.ddns.net
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\wpd.exe'
- '%ProgramFiles(x86)%\flashplayer18ax_ma_install.exe'
- '%TEMP%\rarsfx0\msmpeng.exe' "%ProgramFiles(x86)%\wpd.exe"
- '%ALLUSERSPROFILE%\microsoft\devicesync\msmpeng.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\svchost.exe' -main (со скрытым окном)
- '%WINDIR%\syswow64\svchost.exe' -protect (со скрытым окном)
- '%WINDIR%\syswow64\dllhost.exe' -user (со скрытым окном)
- '%ProgramFiles(x86)%\wpd.exe' (со скрытым окном)
