Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\adobe flash player updater
- <SYSTEM32>\tasks\adobe flash player npapi notifier
- <SYSTEM32>\tasks\adobe flash player ppapi notifier
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\AdobeFlashPlayerUpdateSvc] 'ImagePath' = '%WINDIR%\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe'
Создает следующие сервисы
- 'AdobeFlashPlayerUpdateSvc' %WINDIR%\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\net.exe' stop AdobeFlashPlayerUpdateSvc
Изменения в файловой системе
Создает следующие файлы
- %CommonProgramFiles(x86)%\~hpwkbuw.tmp
- %WINDIR%\syswow64\macromed\temp\{61f292ff-df20-4018-887c-4c4e7b2d07a1}\fpb.tmp
- %WINDIR%\syswow64\macromed\temp\{a59cd58e-df8f-4038-8862-d8d021ea1ed3}\fpb.tmp
- %WINDIR%\syswow64\macromed\temp\{a3a8f2c1-3931-4e3d-be25-9a9648da384e}\installflashplayer.exe
- <SYSTEM32>\macromed\temp\{84928991-13f1-41ed-a31c-82e4fd78279f}\fpb.tmp
- <SYSTEM32>\macromed\temp\{623a4e09-3db7-4550-a7b2-033d25edc1fe}\fpb.tmp
- <SYSTEM32>\macromed\flash\npswf64_32_0_0_363.dll
- <SYSTEM32>\macromed\flash\flashutil64_32_0_0_363_plugin.exe
- <SYSTEM32>\macromed\flash\flashutil64_32_0_0_363_plugin.dll
- <SYSTEM32>\macromed\flash\plugin.vch
- <SYSTEM32>\macromed\flash\flashinstall64.log
- %WINDIR%\syswow64\macromed\flash\npswf32_32_0_0_363.dll
- %WINDIR%\syswow64\macromed\flash\flashutil32_32_0_0_363_plugin.exe
- %WINDIR%\syswow64\macromed\flash\flashutil32_32_0_0_363_plugin.dll
- %WINDIR%\syswow64\macromed\flash\plugin.vch
- %WINDIR%\syswow64\macromed\flash\flashplayer.xpt
- %WINDIR%\syswow64\macromed\flash\flashplayerplugin_32_0_0_363.exe
- %WINDIR%\syswow64\macromed\flash\flashplayerupdateservice.exe
- %WINDIR%\syswow64\macromed\flash\mms.cfg
- %WINDIR%\syswow64\macromed\flash\flashinstall32.log
- %CommonProgramFiles(x86)%\~mhswand.tmp
- %WINDIR%\syswow64\macromed\temp\{0653cc24-db26-450c-a2dd-2c0534939f09}\fpb.tmp
- %WINDIR%\syswow64\macromed\temp\{cb007f0b-ae7b-4880-ae4e-1352086f4d7b}\fpb.tmp
- %WINDIR%\syswow64\macromed\temp\{0964e5f7-e888-4f27-b1d5-373764f93a6a}\installflashplayer.exe
- <SYSTEM32>\macromed\temp\{9b0ec6c5-e4ce-4907-87ad-24cff9d5f71e}\fpb.tmp
- <SYSTEM32>\macromed\temp\{e7e8c55a-3df7-43ca-b98a-46b16278c5ac}\fpb.tmp
- <SYSTEM32>\macromed\flash\pepflashplayer64_32_0_0_363.dll
- <SYSTEM32>\macromed\flash\flashutil64_32_0_0_363_pepper.exe
- <SYSTEM32>\macromed\flash\flashutil64_32_0_0_363_pepper.dll
- <SYSTEM32>\macromed\flash\pepper.vch
- <SYSTEM32>\macromed\flash\manifest.json
- %WINDIR%\syswow64\macromed\flash\pepflashplayer32_32_0_0_363.dll
- %WINDIR%\syswow64\macromed\flash\flashutil32_32_0_0_363_pepper.exe
- %WINDIR%\syswow64\macromed\flash\flashutil32_32_0_0_363_pepper.dll
- %WINDIR%\syswow64\macromed\flash\pepper.vch
- %WINDIR%\syswow64\macromed\flash\manifest.json
- %TEMP%\{261588bb-184a-4501-a8b7-c1e10671379f}.png
- %LOCALAPPDATA%\microsoft\windows\explorer\notifyicon\microsoft.explorer.notification.{f0e670af-cd58-c9c9-c21c-ad5bf55cb742}.png
Присваивает атрибут 'скрытый' для следующих файлов
- %CommonProgramFiles(x86)%\~hpwkbuw.tmp
- %CommonProgramFiles(x86)%\~mhswand.tmp
Удаляет файлы, которые сам же создал
- %WINDIR%\syswow64\macromed\temp\{61f292ff-df20-4018-887c-4c4e7b2d07a1}\fpb.tmp
- <SYSTEM32>\macromed\temp\{84928991-13f1-41ed-a31c-82e4fd78279f}\fpb.tmp
- <SYSTEM32>\macromed\temp\{623a4e09-3db7-4550-a7b2-033d25edc1fe}\fpb.tmp
- %WINDIR%\syswow64\macromed\temp\{a3a8f2c1-3931-4e3d-be25-9a9648da384e}\installflashplayer.exe
- %WINDIR%\syswow64\macromed\temp\{a59cd58e-df8f-4038-8862-d8d021ea1ed3}\fpb.tmp
- %CommonProgramFiles(x86)%\~hpwkbuw.tmp
- %WINDIR%\syswow64\macromed\temp\{0653cc24-db26-450c-a2dd-2c0534939f09}\fpb.tmp
- <SYSTEM32>\macromed\temp\{9b0ec6c5-e4ce-4907-87ad-24cff9d5f71e}\fpb.tmp
- <SYSTEM32>\macromed\temp\{e7e8c55a-3df7-43ca-b98a-46b16278c5ac}\fpb.tmp
- %WINDIR%\syswow64\macromed\temp\{0964e5f7-e888-4f27-b1d5-373764f93a6a}\installflashplayer.exe
- %WINDIR%\syswow64\macromed\temp\{cb007f0b-ae7b-4880-ae4e-1352086f4d7b}\fpb.tmp
- %CommonProgramFiles(x86)%\~mhswand.tmp
- %WINDIR%\syswow64\macromed\flash\flashplayerupdateservice.exe
- <SYSTEM32>\tasks\adobe flash player ppapi notifier
- <SYSTEM32>\tasks\adobe flash player npapi notifier
- <SYSTEM32>\tasks\adobe flash player updater
- %TEMP%\{261588bb-184a-4501-a8b7-c1e10671379f}.png
- %LOCALAPPDATA%\microsoft\windows\explorer\notifyicon\microsoft.explorer.notification.{f0e670af-cd58-c9c9-c21c-ad5bf55cb742}.png
Сетевая активность
Подключается к
- 'fp######ad.macromedia.com':443
- '19#.#32.210.172':80
- 'fp######ad2.macromedia.com':80
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?4a##############
- http://fp######ad2.macromedia.com/get/flashplayer/update/current/install/version.xml32.0.0.363~installVector=1&previousVersion=0.0.0.0&pProc=yknnh.exe&lang=en&cpuWordLength=64&playerType=pl&os=...
- http://fp######ad2.macromedia.com/get/flashplayer/update/current/install/version.xml32.0.0.363~installVector=1&previousVersion=0.0.0.0&pProc=yknnh.exe&lang=en&cpuWordLength=64&playerType=pep&os...
Другие
- 'fp######ad.macromedia.com':443
UDP
- DNS ASK fp######ad.macromedia.com
- DNS ASK fp######ad2.macromedia.com
Другое
Создает и запускает на исполнение
- '%CommonProgramFiles(x86)%\~hpwkbuw.tmp' -install
- '%WINDIR%\syswow64\macromed\temp\{a3a8f2c1-3931-4e3d-be25-9a9648da384e}\installflashplayer.exe' -install -skipARPEntry -iv 1 -au 4294967295
- '%WINDIR%\syswow64\macromed\flash\flashplayerupdateservice.exe' -install
- '%WINDIR%\syswow64\macromed\flash\flashplayerupdateservice.exe' -setNotifyAutoUpdate
- '%CommonProgramFiles(x86)%\~mhswand.tmp' -install
- '%WINDIR%\syswow64\macromed\temp\{0964e5f7-e888-4f27-b1d5-373764f93a6a}\installflashplayer.exe' -install -skipARPEntry -iv 1 -au 4294967295
- '%WINDIR%\syswow64\macromed\flash\flashplayerupdateservice.exe' -setDisableAutoUpdate
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c SCHTASKS /Delete /TN "Adobe Flash Player PPAPI Notifier" /F (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /Delete /TN "Adobe Flash Player PPAPI Notifier" /F
- '%WINDIR%\syswow64\cmd.exe' /c SCHTASKS /Delete /TN "Adobe Flash Player NPAPI Notifier" /F (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /Delete /TN "Adobe Flash Player NPAPI Notifier" /F
- '%WINDIR%\syswow64\cmd.exe' /c SCHTASKS /Delete /TN "Adobe Flash Player Updater" /F (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /Delete /TN "Adobe Flash Player Updater" /F
- '%WINDIR%\syswow64\cmd.exe' /c net stop AdobeFlashPlayerUpdateSvc (со скрытым окном)
- '%WINDIR%\syswow64\net1.exe' stop AdobeFlashPlayerUpdateSvc
- '%WINDIR%\syswow64\cmd.exe' /c sc delete AdobeFlashPlayerUpdateSvc (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' delete AdobeFlashPlayerUpdateSvc
- '%WINDIR%\syswow64\macromed\flash\flashplayerupdateservice.exe' -setDisableAutoUpdate (со скрытым окном)
