Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Drive' = '%APPDATA%\Drive\Drive.exe'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework64\v4.0.30319\wsatconfig.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\regasm.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\datasvcutil.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\edmgen.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\addinutil.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\msbuild.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\aspnet_regbrowsers.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\regsvcs.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\installutil.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\aspnet_compiler.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\microsoft.workflow.compiler.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\comsvcconfig.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\ngentask.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\jsc.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\microsoft.net\framework64\v4.0.30319\wsatconfig.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\dfsvc.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\ngen.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\regasm.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\aspnet_state.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\datasvcutil.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\mscorsvw.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\edmgen.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\addinutil.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\msbuild.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\aspnet_regbrowsers.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\aspnet_regiis.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\regsvcs.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\installutil.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\aspnet_compiler.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\microsoft.workflow.compiler.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\vbc.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\comsvcconfig.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\ngentask.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\applaunch.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [HKCU\Software\RimArts\B2\Settings]
- [HKCU\SOFTWARE\Martin Prikryl\WinSCP 2\Sessions]
- [HKCU\SOFTWARE\FTPWare\COREFTP\Sites]
- [HKLM\Software\WOW6432Node\ORL\WinVNC3]
- [HKCU\Software\ORL\WinVNC3]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %APPDATA%\mozilla\firefox\profiles.ini
- %APPDATA%\thunderbird\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\content\2840-1320-<Имя файла>.exe-08-25-44-867.dump
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
- %APPDATA%\drive\drive.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\drive\drive.exe
Изменяет следующие файлы
- %LOCALAPPDATA%\microsoft\vault\userprofileroaming\latest.dat
Другое
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\jsc.exe'
