Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Патчит код
в динамической библиотеке
- Процесс icarus.exe, модуль KERNEL32.dll
- Процесс icarus_ui.exe, модуль KERNEL32.dll
Изменения в файловой системе
Создает следующие файлы
- nul
- <Текущая директория>\syslog.dat
- %TEMP%\tmp_e3563.exe
- %ALLUSERSPROFILE%\avast software\icarus\logs\sfx.log.tmp.248f0d4b-95e2-498c-af43-b1adb0d9dd9d
- %ALLUSERSPROFILE%\avast software\icarus\logs\sfx.log
- %TEMP%\d566d7d7-dcd6-471c-8109-be0ad33199e3
- %TEMP%\6358c710-b89f-46b9-93f2-f6cac44f5286
- %TEMP%\f07d8c6a-04b6-4025-869c-70a788d7b5c0
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\common\667b5f71-dc57-4039-a30d-821e2de62f74
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\common\icarus_mod.dll
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\common\product-info.xml
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\common\3a4bc147-f837-4521-8d8d-01a0e5ccf8f2
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\common\icarus.exe
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\common\9b6b602e-5dfd-42ef-9c17-0b7272f8aeb7
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\common\icarus_ui.exe
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\common\982b0ee8-1098-440d-bbf2-e8739405e98f
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\common\dump_process.exe
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\common\43909cfe-2341-4cc3-813f-3446ece7d90d
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\common\bug_report.exe
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\common\32d2d68d-60a7-4541-a31e-7ce854db21a8
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\common\product-def.xml
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\common\378d3faa-bbfd-4c9c-bf84-f3d362dd35f0
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\common\setupui.cont
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\epps.edat
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\giet.edat
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\ecoo.edat
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\icarus-info.xml
- %ALLUSERSPROFILE%\avast software\icarus\logs\icarus.log.tmp.dd6b4fcf-d5d9-4680-8c3b-60393cadc770
- %ALLUSERSPROFILE%\avast software\icarus\logs\icarus.log
- %ALLUSERSPROFILE%\avast software\icarus\logs\driver_bridge.bxlog
- %ALLUSERSPROFILE%\avast software\icarus\settings\temporary_proxy.ini
- %ALLUSERSPROFILE%\avast software\icarus\logs\sui.log.tmp.edafffde-c117-4c1f-88f3-480dbdf5b110
- %ALLUSERSPROFILE%\avast software\icarus\logs\sui.log
- %ALLUSERSPROFILE%\avast software\icarus\logs\reporting.log
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-suite\brandingdata\av\licensing\policy.def
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-suite\brandingdata\av\brandcfg.js
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-suite\brandingdata\av\licensing\brandingdata.js
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-av-vps\icarus.exe
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-suite\icarus.exe
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-av-vps\dump_process.exe
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-suite\icarus_ui.exe
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-av-vps\bug_report.exe
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-suite\dump_process.exe
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-suite\bug_report.exe
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-av-vps\icarus_product.dll.lzma
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-suite\product-def.xml
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-suite\setupui.cont
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-av-vps\icarus_rvrt.exe.lzma
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-av-vps\icarus_rvrt.exe
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-av-vps\icarus_product.dll
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-av-vps\product-def.xml.lzma
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-av-vps\product-def.xml
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-av-vps\product-info.xml
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-av-vps\config.def
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-suite\icarus_product.dll.lzma
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-suite\icarus_rvrt.exe.lzma
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-suite\icarus_rvrt.exe
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-suite\icarus_product.dll
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-suite\product-info.xml
- %WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-suite\config.def
- %ALLUSERSPROFILE%\avast software\icarus\logs\event_manager.log.tmp.1bfa8707-8da6-4d74-86d6-7cf8d511c379
- %ALLUSERSPROFILE%\avast software\icarus\logs\event_manager.log
Перемещает следующие файлы
- %ALLUSERSPROFILE%\avast software\icarus\logs\sfx.log.tmp.248f0d4b-95e2-498c-af43-b1adb0d9dd9d в %ALLUSERSPROFILE%\avast software\icarus\logs\sfx.log
- %ALLUSERSPROFILE%\avast software\icarus\logs\icarus.log.tmp.dd6b4fcf-d5d9-4680-8c3b-60393cadc770 в %ALLUSERSPROFILE%\avast software\icarus\logs\icarus.log
- %ALLUSERSPROFILE%\avast software\icarus\logs\sui.log.tmp.edafffde-c117-4c1f-88f3-480dbdf5b110 в %ALLUSERSPROFILE%\avast software\icarus\logs\sui.log
- %ALLUSERSPROFILE%\avast software\icarus\logs\event_manager.log.tmp.1bfa8707-8da6-4d74-86d6-7cf8d511c379 в %ALLUSERSPROFILE%\avast software\icarus\logs\event_manager.log
Сетевая активность
Подключается к
- 'an####ics.avcdn.net':443
- 'ho####.avcdn.net':443
- 'sh####rd.avcdn.net':443
- 'br####ng.avast.com':443
TCP
Другие
- 'an####ics.avcdn.net':443
- 'ho####.avcdn.net':443
- 'sh####rd.avcdn.net':443
- 'br####ng.avast.com':443
UDP
- DNS ASK an####ics.avcdn.net
- DNS ASK ho####.avcdn.net
- DNS ASK sh####rd.avcdn.net
- DNS ASK br####ng.avast.com
Другое
Ищет следующие окна
- ClassName: 'aswIcarusUiClass' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\tmp_e3563.exe'
- '%WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\common\icarus.exe' /icarus-info-path:%WINDIR%\Temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\icarus-info.xml /install /sssid:4248
- '%WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\common\icarus_ui.exe' /sssid:4248 /er_master:master_ep_c37f0bba-ed89-4034-a2c9-00c019e2bc56 /er_ui:ui_ep_e6c70fd4-5781-4940-829d-d27e74feacdd
- '%WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-suite\icarus.exe' /sssid:4248 /er_master:master_ep_c37f0bba-ed89-4034-a2c9-00c019e2bc56 /er_ui:ui_ep_e6c70fd4-5781-4940-829d-d27e74feacdd /er_slave:avast-suite_slave_ep_4d79b44f-ef3e-4e7f-8798-16bae8d20d50 /slav...
- '%WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-av-vps\icarus.exe' /sssid:4248 /er_master:master_ep_c37f0bba-ed89-4034-a2c9-00c019e2bc56 /er_ui:ui_ep_e6c70fd4-5781-4940-829d-d27e74feacdd /er_slave:avast-av-vps_slave_ep_3b11e7b5-c9ed-4a44-9ae1-0f9c28932378 /sla...
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c vssadmin delete shadows /all /quiet >nul 2>&1
- '%WINDIR%\syswow64\cmd.exe' /c wmic shadowcopy delete >nul 2>&1
- '%WINDIR%\syswow64\cmd.exe' /c wevtutil cl System >nul 2>&1
- '%WINDIR%\syswow64\wevtutil.exe' cl System
- '%WINDIR%\syswow64\cmd.exe' /c wevtutil cl Application >nul 2>&1
- '%WINDIR%\syswow64\wevtutil.exe' cl Application
- '%WINDIR%\syswow64\cmd.exe' /c wevtutil cl Security >nul 2>&1
- '%WINDIR%\syswow64\wevtutil.exe' cl Security
- '%TEMP%\tmp_e3563.exe' (со скрытым окном)
- '%WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\common\icarus_ui.exe' /sssid:4248 /er_master:master_ep_c37f0bba-ed89-4034-a2c9-00c019e2bc56 /er_ui:ui_ep_e6c70fd4-5781-4940-829d-d27e74feacdd (со скрытым окном)
- '%WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-suite\icarus.exe' /sssid:4248 /er_master:master_ep_c37f0bba-ed89-4034-a2c9-00c019e2bc56 /er_ui:ui_ep_e6c70fd4-5781-4940-829d-d27e74feacdd /er_slave:avast-suite_slave_ep_4d79b44f-ef3e-4e7f-8798-16bae8d20d50 /slav... (со скрытым окном)
- '%WINDIR%\temp\asw-0069c8f1-ca77-46b2-8d84-7c65fd39e16b\avast-av-vps\icarus.exe' /sssid:4248 /er_master:master_ep_c37f0bba-ed89-4034-a2c9-00c019e2bc56 /er_ui:ui_ep_e6c70fd4-5781-4940-829d-d27e74feacdd /er_slave:avast-av-vps_slave_ep_3b11e7b5-c9ed-4a44-9ae1-0f9c28932378 /sla... (со скрытым окном)
