Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\holocraft.url
- <SYSTEM32>\tasks\starsmerchant
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- regasm.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\herbs.mid
- %TEMP%\bbs.mid
- %TEMP%\conflict.mid
- %TEMP%\monday.mid
- %TEMP%\channels.mid
- %TEMP%\changing.mid
- %TEMP%\collins.mid
- %TEMP%\toolbar.mid
- %TEMP%\submissions.mid
- %TEMP%\table.mid
- %TEMP%\illustration.mid
- %TEMP%\buyers.mid
- %TEMP%\certificates.mid
- %TEMP%\law.mid
- %TEMP%\manitoba.mid
- %TEMP%\maximum.mid
- %TEMP%\system.mid
- %TEMP%\closed.mid
- %TEMP%\advert.mid
- %TEMP%\system.mid.bat
- %TEMP%\freeware
- %TEMP%\helen
- %TEMP%\cooperation
- %TEMP%\buzz
- %TEMP%\kept
- %TEMP%\og
- %TEMP%\brochures
- %TEMP%\volumes
- %TEMP%\phenomenon
- %TEMP%\blood
- %TEMP%\bulk
- %TEMP%\590985\close.com
- %TEMP%\590985\m
- %LOCALAPPDATA%\virtualcraft studios\w
- %LOCALAPPDATA%\virtualcraft studios\holocraft.com
- %LOCALAPPDATA%\virtualcraft studios\holocraft.js
- %TEMP%\590985\regasm.exe
Удаляет следующие файлы
- %TEMP%\590985\m
Сетевая активность
UDP
- DNS ASK qL##########yRUpvtHAD.qLhDDJRtkoJbyRUpvtHAD
Другое
Создает и запускает на исполнение
- '%TEMP%\590985\close.com' M
- '%TEMP%\590985\regasm.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c copy System.mid System.mid.bat & System.mid.bat (со скрытым окном)
- '%WINDIR%\syswow64\tasklist.exe'
- '%WINDIR%\syswow64\findstr.exe' /I "opssvc wrsa"
- '%WINDIR%\syswow64\findstr.exe' "nsWscSvc ekrn bdservicehost SophosHealth AvastUI AVGUI & if not errorlevel 1 Set onBuQSZqyPkFgcdKwnCgM=AutoIt3.exe & Set AaRKwoiKGmRLRQMSxjmmpXyNMMloycmT=.a3x & Set wQYgOoEicUONhBzH=300
- '%WINDIR%\syswow64\extrac32.exe' /Y Monday.mid *.*
- '%WINDIR%\syswow64\findstr.exe' /V "Ranking" Bulk
- '<SYSTEM32>\cmd.exe' /c schtasks.exe /create /tn "Starsmerchant" /tr "wscript //B '%LOCALAPPDATA%\VirtualCraft Studios\HoloCraft.js'" /sc minute /mo 5 /F
- '%WINDIR%\syswow64\choice.exe' /d n /t 5
- '<SYSTEM32>\cmd.exe' /k echo [InternetShortcut] > "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\HoloCraft.url" & echo URL="%LOCALAPPDATA%\VirtualCraft Studios\HoloCraft.js" >> "%APPDATA%\Microsoft\Window...
- '<SYSTEM32>\schtasks.exe' /create /tn "Starsmerchant" /tr "wscript //B '%LOCALAPPDATA%\VirtualCraft Studios\HoloCraft.js'" /sc minute /mo 5 /F
