Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Command Processor] 'AutoRun' = '"%APPDATA%\Microsoft\Windows\dllcache\cacls.exe"'
- [<HKCU>\Control Panel\Desktop] 'SCRNSAVE.EXE' = '"%APPDATA%\Microsoft\Windows\dllcache\cacls.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'cacls' = '"%APPDATA%\Microsoft\Windows\dllcache\cacls.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'cacls' = '"%APPDATA%\Microsoft\Windows\dllcache\cacls.exe"'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\cacls.lnk
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\Microsoft\Windows\dllcache\cacls.exe'
- '%APPDATA%\Microsoft\Windows\dllcache\cacls.exe' "<Полный путь к вирусу>"
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe' -k netsvcs
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cscript.exe
- <SYSTEM32>\cmd.exe
- %WINDIR%\Explorer.EXE
- <SYSTEM32>\ctfmon.exe
большое количество пользовательских процессов.
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Microsoft\Windows\dllcache\acledit.dll
- %APPDATA%\Microsoft\Windows\dllcache\verifier.exe
- %APPDATA%\Microsoft\Windows\dllcache\adsnw.dll
- %APPDATA%\Microsoft\Windows\dllcache\dataclen.dll
- %APPDATA%\Microsoft\Windows\dllcache\powrprof.dll
- %APPDATA%\Microsoft\Windows\dllcache\hlink.dll
- %APPDATA%\Microsoft\Windows\dllcache\sigverif.exe
- %APPDATA%\Microsoft\Windows\dllcache\dskquota.dll
- %APPDATA%\Microsoft\Windows\dllcache\wavemsp.dll
- %APPDATA%\Microsoft\Windows\dllcache\basesrv.dll
- %APPDATA%\Microsoft\Windows\dllcache\wiavideo.dll
- %APPDATA%\Microsoft\Windows\dllcache\UIAutomationCore.dll
- %APPDATA%\Microsoft\Windows\dllcache\routetab.dll
- %APPDATA%\Microsoft\Windows\dllcache\safrdm.dll
- %APPDATA%\Microsoft\Windows\dllcache\kbdsp.dll
- %APPDATA%\Microsoft\Windows\dllcache\xpob2res.dll
- %APPDATA%\Microsoft\Windows\dllcache\jscript.dll
- %APPDATA%\Microsoft\Windows\dllcache\browseui.dll
- %APPDATA%\Microsoft\Windows\dllcache\graftabl.com
- %APPDATA%\Microsoft\Windows\dllcache\tree.com
- %APPDATA%\Microsoft\Windows\dllcache\xactsrv.dll
- %APPDATA%\Microsoft\Windows\dllcache\KBDAL.DLL
- %APPDATA%\Microsoft\Windows\dllcache\gb2312.uce
- %APPDATA%\Microsoft\Windows\dllcache\wiasf.ax
- %APPDATA%\Microsoft\Windows\dllcache\camocx.dll
- %APPDATA%\Microsoft\Windows\dllcache\udhisapi.dll
- %APPDATA%\Microsoft\Windows\dllcache\kbdblr.dll
- %APPDATA%\Microsoft\Windows\dllcache\nscompat.tlb
- %APPDATA%\Microsoft\Windows\dllcache\kbdes.dll
- %APPDATA%\Microsoft\Windows\dllcache\cabview.dll
- %APPDATA%\Microsoft\Windows\dllcache\dmband.dll
- %APPDATA%\Microsoft\Windows\dllcache\langwrbk.dll
- %APPDATA%\Microsoft\Windows\dllcache\keyboard.drv
- %APPDATA%\Microsoft\Windows\dllcache\narrator.exe
- %APPDATA%\Microsoft\Windows\dllcache\xpsshhdr.dll
- %APPDATA%\Microsoft\Windows\dllcache\qmgrprxy.dll
- %APPDATA%\Microsoft\Windows\dllcache\batt.dll
- %APPDATA%\Microsoft\Windows\dllcache\netmsg.dll
- %APPDATA%\Microsoft\Windows\dllcache\ntio.sys
- %APPDATA%\Microsoft\Windows\dllcache\browselc.dll
- %APPDATA%\Microsoft\Windows\dllcache\sbeio.dll
- %APPDATA%\Microsoft\Windows\dllcache\olecli.dll
- %APPDATA%\Microsoft\Windows\dllcache\kbdca.dll
- %APPDATA%\Microsoft\Windows\dllcache\dgrpsetu.dll
- %APPDATA%\Microsoft\Windows\dllcache\l3codeca.acm
- %APPDATA%\Microsoft\Windows\dllcache\lprhelp.dll
- %APPDATA%\Microsoft\Windows\dllcache\bootcfg.exe
- %APPDATA%\Microsoft\Windows\dllcache\capesnpn.dll
- %APPDATA%\Microsoft\Windows\dllcache\tapiperf.dll
- %APPDATA%\Microsoft\Windows\dllcache\kbdsg.dll
- %APPDATA%\Microsoft\Windows\dllcache\packager.exe
- %APPDATA%\Microsoft\Windows\dllcache\edlin.exe
- %APPDATA%\Microsoft\Windows\dllcache\calc.exe
- %APPDATA%\Microsoft\Windows\dllcache\kbdfo.dll
- %APPDATA%\Microsoft\Windows\dllcache\kanji_1.uce
- %APPDATA%\Microsoft\Windows\dllcache\bios1.rom
- %APPDATA%\Microsoft\Windows\dllcache\rasrad.dll
- %APPDATA%\Microsoft\Windows\dllcache\qappsrv.exe
- %APPDATA%\Microsoft\Windows\dllcache\lanman.drv
- %APPDATA%\Microsoft\Windows\dllcache\<Служебное имя>.dll
- %APPDATA%\Microsoft\Windows\dllcache\icardagt.exe
- %APPDATA%\Microsoft\Windows\dllcache\odbctrac.dll
- %APPDATA%\Microsoft\Windows\dllcache\rasman.dll
- %APPDATA%\Microsoft\Windows\dllcache\rasautou.exe
- %APPDATA%\Microsoft\Windows\dllcache\vssapi.dll
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\d03d01f3a3d15f87dcbfe0c4a0c8b31b_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %APPDATA%\Microsoft\SystemCertificates\My\Certificates\CF1D98199E4C7A8BD4E856742E307485A0043136
- C:\System Volume Information\EFS0.LOG
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\1b2ae603-7909-467c-b77f-75e0ec8373a7
- %APPDATA%\Microsoft\Windows\dllcache\cacls.exe
- C:\Documents and Settings\Default User\Start Menu\Programs\Startup\cacls.lnk
- %APPDATA%\Microsoft\Windows\dllcache\qasf.dll
- %APPDATA%\Microsoft\Windows\dllcache\gcdef.dll
- %TEMP%\tmp1.tmp
- %APPDATA%\Microsoft\Windows\dllcache\RCX2.tmp
- %APPDATA%\Microsoft\Windows\dllcache\RCX3.tmp
- %APPDATA%\Microsoft\Windows\dllcache\iasacct.dll
- %APPDATA%\Microsoft\Windows\dllcache\encdec.dll
- %APPDATA%\Microsoft\Windows\dllcache\p2pgraph.dll
- %APPDATA%\Microsoft\Windows\dllcache\webvw.dll
- %APPDATA%\Microsoft\Windows\dllcache\version.dll
- %APPDATA%\Microsoft\Windows\dllcache\nbtstat.exe
- %APPDATA%\Microsoft\Windows\dllcache\mll_qic.dll
- %APPDATA%\Microsoft\Windows\dllcache\regsvc.dll
- %APPDATA%\Microsoft\Windows\dllcache\mciseq.dll
- %APPDATA%\Microsoft\Windows\dllcache\mem.exe
- %APPDATA%\Microsoft\Windows\dllcache\asr_pfu.exe
- %APPDATA%\Microsoft\Windows\dllcache\fontview.exe
- %APPDATA%\Microsoft\Windows\dllcache\lpq.exe
- %APPDATA%\Microsoft\Windows\dllcache\audiosrv.dll
- %APPDATA%\Microsoft\Windows\dllcache\rasctrnm.h
- %APPDATA%\Microsoft\Windows\dllcache\esentprf.hxx
- %APPDATA%\Microsoft\Windows\dllcache\bootvrfy.exe
- %APPDATA%\Microsoft\Windows\dllcache\ega.cpi
- %APPDATA%\Microsoft\Windows\dllcache\datime.dll
- %APPDATA%\Microsoft\Windows\dllcache\inetcplc.dll
- %APPDATA%\Microsoft\Windows\dllcache\d3d8thk.dll
- %APPDATA%\Microsoft\Windows\dllcache\ulib.dll
- %APPDATA%\Microsoft\Windows\dllcache\wiaacmgr.exe
- %APPDATA%\Microsoft\Windows\dllcache\main.cpl
- %APPDATA%\Microsoft\Windows\dllcache\perfci.h
- %APPDATA%\Microsoft\Windows\dllcache\eventvwr.exe
Удаляет следующие файлы:
- %TEMP%\tmp1.tmp
- %TEMP%\tmp4.tmp
- C:\System Volume Information\EFS0.LOG
- %APPDATA%\Microsoft\Windows\dllcache\cacls.exe
Перемещает следующие файлы:
- %APPDATA%\Microsoft\Windows\dllcache\RCX3.tmp в %APPDATA%\Microsoft\Windows\dllcache\cacls.exe
- %APPDATA%\Microsoft\Windows\dllcache\RCX2.tmp в %APPDATA%\Microsoft\Windows\dllcache\cacls.exe
Сетевая активность:
Подключается к:
- '89.#5.14.75':21
Другое:
Ищет следующие окна:
- ClassName: 'NotifyIconOverflowWindow' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'TrayNotifyWnd' WindowName: '(null)'
