Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\DellUpdateSvc] 'ImagePath' = '<Текущая директория>\DDDriver.sys'
Создает следующие сервисы
- 'DellUpdateSvc' <Текущая директория>\DDDriver.sys
Вредоносные функции
Патчит код
в динамической библиотеке NTDLL
- Процесс srtm.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ff000ea004.exe
- %TEMP%\7zscb38debe\setup-stub.exe
- %TEMP%\7zscb38debe\postsigningdata
- %TEMP%\nsoab21.tmp\system.dll
- %TEMP%\nsoab21.tmp\uac.dll
- %TEMP%\nsoab21.tmp\userinfo.dll
- %TEMP%\nsoab21.tmp\bgstub.jpg
- %TEMP%\nsoab21.tmp\cityhash.dll
- %TEMP%\nsoab21.tmp\stub_common.css
- %TEMP%\nsoab21.tmp\stub_common.js
- %TEMP%\nsoab21.tmp\inetbgdl.dll
- %TEMP%\nsoab21.tmp\webbrowser.dll
- %TEMP%\nsoab21.tmp\profile_cleanup.html
- %TEMP%\nsoab21.tmp\profile_cleanup_page.css
- %TEMP%\nsoab21.tmp\profile_cleanup.js
- %LOCALAPPDATA%\microsoft\internet explorer\msimgsiz.dat
Сетевая активность
Подключается к
- 'do#####d.mozilla.org':443
- '19#.#32.210.172':80
- 'x1.#.lencr.org':80
- 'yr.#.lencr.org':80
- 'yr#.#.lencr.org':80
- 'do########nstaller.cdn.mozilla.net':443
- 'pr######details.mozilla.org':443
- 'oc##.###tg2.amazontrust.com':80
- 'oc##.####ca1.amazontrust.com':80
TCP
Запросы HTTP GET
- http://yr.#.lencr.org/
- http://yr#.#.lencr.org/19.crl
- http://yr#.#.lencr.org/127.crl
- http://oc##.###tg2.amazontrust.com/MFQwUjBQME4wTDAJBgUrDgMCGgUABBSIfaREXmfqfJR3TkMYnD7O5MhzEgQUnF8A36oB1zArOIiiuG1KnPIRkYMCEwZ%2FlEoqJ83z%2BsKuKwH5CO65xMY%3D
- http://oc##.####ca1.amazontrust.com/MFQwUjBQME4wTDAJBgUrDgMCGgUABBRPWaOUU8%2B5VZ5%2Fa9jFTaU9pkK3FAQUhBjMhTTsvAyUlC4IWZzHshBOCggCEwdzEjgLnWaIozse2b%2BczaaODg8%3D
Другие
- 'do#####d.mozilla.org':443
- 'do########nstaller.cdn.mozilla.net':443
- 'pr######details.mozilla.org':443
UDP
- DNS ASK do#####d.mozilla.org
- DNS ASK x1.#.lencr.org
- DNS ASK yr.#.lencr.org
- DNS ASK yr#.#.lencr.org
- DNS ASK do########nstaller.cdn.mozilla.net
- DNS ASK pr######details.mozilla.org
- DNS ASK oc##.###tg2.amazontrust.com
- DNS ASK oc##.####ca1.amazontrust.com
Другое
Ищет следующие окна
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\ff000ea004.exe'
- '%TEMP%\7zscb38debe\setup-stub.exe'
