Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'RDP Clip Monitor' = '"%ProgramFiles%\Microsoft Office\Office14\1033\GrooveForms5\FormsStyles\Swirl\rdpclip.exe"'
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ccSetMgr' = '"%APPDATA%\Thunderbird\Profiles\rehh7ft5.default-release\ccSetMgr.exe"'
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'Comm Driver' = '"%CommonProgramFiles%\Microsoft Shared\VSTO\10.0\commh32.exe"'
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'Apple Push' = '"%ProgramFiles%\Microsoft Office\Office14\OutlookAutoDiscover\APSDaemon.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\rdp clip monitor
- <SYSTEM32>\tasks\microsoft office 2007
- <SYSTEM32>\tasks\ccsetmgr
- <SYSTEM32>\tasks\apple push
- <SYSTEM32>\tasks\comm driver
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' firewall set opmode mode=DISABLE
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\mozilla\firefox\plugin-container.exe
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\plugin-container.exe
- %ProgramFiles%\microsoft office\office14\1033\grooveforms5\formsstyles\swirl\~okrsicx.tmp
- %ProgramFiles%\microsoft office\office14\1033\grooveforms5\formsstyles\swirl\rdpclip.exe
- %APPDATA%\thunderbird\profiles\rehh7ft5.default-release\~abhnbww.tmp
- %APPDATA%\thunderbird\profiles\rehh7ft5.default-release\ccsetmgr.exe
- %CommonProgramFiles%\microsoft shared\vsto\10.0\~wbvulld.tmp
- %CommonProgramFiles%\microsoft shared\vsto\10.0\commh32.exe
- %ProgramFiles%\microsoft office\office14\outlookautodiscover\~tldlcde.tmp
- %ProgramFiles%\microsoft office\office14\outlookautodiscover\apsdaemon.exe
- %ProgramFiles%\windows sidebar\gadgets\picturepuzzle.gadget\en-us\css\~tgsarjc.tmp
- %ProgramFiles%\windows sidebar\gadgets\picturepuzzle.gadget\en-us\css\bcssync.exe
- %ProgramFiles%\dvd maker\shared\dvdstyles\huecycle\~pvlkjdq.tmp
- %ProgramFiles%\dvd maker\shared\dvdstyles\huecycle\ctfmon.exe
Удаляет следующие файлы
- %APPDATA%\mozilla\firefox\plugin-container.exe
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\plugin-container.exe
- %ProgramFiles%\microsoft office\office14\1033\grooveforms5\formsstyles\swirl\~okrsicx.tmp
- %ProgramFiles%\microsoft office\office14\1033\grooveforms5\formsstyles\swirl\rdpclip.exe
- %APPDATA%\thunderbird\profiles\rehh7ft5.default-release\~abhnbww.tmp
- %APPDATA%\thunderbird\profiles\rehh7ft5.default-release\ccsetmgr.exe
- %CommonProgramFiles%\microsoft shared\vsto\10.0\~wbvulld.tmp
- %CommonProgramFiles%\microsoft shared\vsto\10.0\commh32.exe
- %ProgramFiles%\microsoft office\office14\outlookautodiscover\~tldlcde.tmp
- %ProgramFiles%\microsoft office\office14\outlookautodiscover\apsdaemon.exe
- %ProgramFiles%\windows sidebar\gadgets\picturepuzzle.gadget\en-us\css\~tgsarjc.tmp
- %ProgramFiles%\windows sidebar\gadgets\picturepuzzle.gadget\en-us\css\bcssync.exe
- %ProgramFiles%\dvd maker\shared\dvdstyles\huecycle\~pvlkjdq.tmp
- %ProgramFiles%\dvd maker\shared\dvdstyles\huecycle\ctfmon.exe
Подменяет следующие файлы
- %APPDATA%\mozilla\firefox\plugin-container.exe
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\plugin-container.exe
- %ProgramFiles%\microsoft office\office14\1033\grooveforms5\formsstyles\swirl\rdpclip.exe
- %APPDATA%\thunderbird\profiles\rehh7ft5.default-release\ccsetmgr.exe
- %CommonProgramFiles%\microsoft shared\vsto\10.0\commh32.exe
- %ProgramFiles%\microsoft office\office14\outlookautodiscover\apsdaemon.exe
- %ProgramFiles%\windows sidebar\gadgets\picturepuzzle.gadget\en-us\css\bcssync.exe
- %ProgramFiles%\dvd maker\shared\dvdstyles\huecycle\ctfmon.exe
- %ProgramFiles%\microsoft office\office14\1033\grooveforms5\formsstyles\swirl\~okrsicx.tmp
- %APPDATA%\thunderbird\profiles\rehh7ft5.default-release\~abhnbww.tmp
- %CommonProgramFiles%\microsoft shared\vsto\10.0\~wbvulld.tmp
- %ProgramFiles%\microsoft office\office14\outlookautodiscover\~tldlcde.tmp
- %ProgramFiles%\windows sidebar\gadgets\picturepuzzle.gadget\en-us\css\~tgsarjc.tmp
- %ProgramFiles%\dvd maker\shared\dvdstyles\huecycle\~pvlkjdq.tmp
Сетевая активность
UDP
- 'localhost':65486
- 'localhost':61156
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C DIR /A:D /S /B * (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /CREATE /F /SC MINUTE /MO 23 /TN "RDP Clip Monitor" /TR "\"%ProgramFiles%\Microsoft Office\Office14\1033\GrooveForms5\FormsStyles\Swirl\rdpclip.exe\"" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /CREATE /F /SC MINUTE /MO 35 /TN "ccSetMgr" /TR "\"%APPDATA%\Thunderbird\Profiles\rehh7ft5.default-release\ccSetMgr.exe\"" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /CREATE /F /SC MINUTE /MO 3 /TN "Comm Driver" /TR "\"%CommonProgramFiles%\Microsoft Shared\VSTO\10.0\commh32.exe\"" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /CREATE /F /SC MINUTE /MO 14 /TN "Apple Push" /TR "\"%ProgramFiles%\Microsoft Office\Office14\OutlookAutoDiscover\APSDaemon.exe\"" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /CREATE /F /SC ONLOGON /TN "Microsoft Office 2007" /TR "\"%ProgramFiles%\Windows Sidebar\Gadgets\PicturePuzzle.Gadget\en-US\css\BCSSync.exe\"" (со скрытым окном)
- '<SYSTEM32>\netsh.exe' firewall set opmode mode=DISABLE (со скрытым окном)
