Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im FAPCFPACK.exe
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\gpscript.exe
- %WINDIR%\syswow64\camerasettingsuihost.exe
- %WINDIR%\syswow64\label.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- iexplore.exe
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\syswow64\windowspowershell\v1.0\fapcfpack.exe
- <DRIVERS>\etc\hosts.ics
- %WINDIR%\syswow64\windowspowershell\v1.0\go1.bat
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\28wqgoxh\dnserrordiagoff[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\8b7n44vv\dnserrordiagoff[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\28wqgoxh\newerrorpagetemplate[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\gdqv2uqt\errorpagestrings[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\q4zt3a2t\newerrorpagetemplate[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\28wqgoxh\errorpagestrings[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\gdqv2uqt\httperrorpagesscripts[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\28wqgoxh\httperrorpagesscripts[1]
- %LOCALAPPDATA%\microsoft\internet explorer\msimgsiz.dat
- %LOCALAPPDATA%\packages\windows_ie_ac_001\ac\<INETFILES>\msimgsiz.dat
Удаляет следующие системные файлы
- %WINDIR%\servicestate\winhttpautoproxysvc\data\cachev3.dat
Удаляет файлы, которые сам же создал
- %WINDIR%\syswow64\windowspowershell\v1.0\fapcfpack.exe
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\28wqgoxh\dnserrordiagoff[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\28wqgoxh\newerrorpagetemplate[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\gdqv2uqt\errorpagestrings[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\gdqv2uqt\httperrorpagesscripts[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\28wqgoxh\errorpagestrings[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\8b7n44vv\dnserrordiagoff[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\q4zt3a2t\newerrorpagetemplate[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\28wqgoxh\httperrorpagesscripts[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\8b7n44vv\newerrorpagetemplate[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\q4zt3a2t\errorpagestrings[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\8b7n44vv\errorpagestrings[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\q4zt3a2t\httperrorpagesscripts[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\8b7n44vv\httperrorpagesscripts[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\q4zt3a2t\dnserrordiagoff[1]
Изменяет файл HOSTS.
Сетевая активность
Подключается к
- 'cf######07.googlecode.com':80
- 'google.com':80
TCP
Запросы HTTP GET
- http://cf######07.googlecode.com/svn/trunk/FAPCF.HTML
- http://www.google.com/images/branding/googlelogo/1x/googlelogo_color_150x54dp.png
UDP
- DNS ASK co##############e-chains.prod.autograph.services.mozaws.net
- DNS ASK cf######07.googlecode.com
- DNS ASK google.com
- DNS ASK ve####n.vinacf.com
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: '18467-41' WindowName: ''
- ClassName: 'ThunderRT6FormDC' WindowName: 'CROSSFIRE TOOL'
- ClassName: '' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\fapcfpack.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\gpscript.exe'
- '%WINDIR%\syswow64\camerasettingsuihost.exe'
- '%WINDIR%\syswow64\label.exe'
- '%WINDIR%\syswow64\cmd.exe' /c go1.bat (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' InetCpl.cpl,ClearMyTracksByProcess 8 (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' InetCpl.cpl,ClearMyTracksByProcess 2 (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' <SYSTEM32>\inetcpl.cpl,ClearMyTracksByProcess Flags:8 WinX:0 WinY:0 IEFrame:00000000
- '%WINDIR%\syswow64\rundll32.exe' <SYSTEM32>\inetcpl.cpl,ClearMyTracksByProcess Flags:2 WinX:0 WinY:0 IEFrame:00000000
