Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'SynTPHelper' = '%LOCALAPPDATA%\CloudSync_VWTQH\SkinInstaller.exe'
Вредоносные функции
Перехватывает управление с помощью отладочных регистров
в динамической библиотеке NTDLL
- Процесс skininstaller.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\cloudsync_vwtqh\skininstaller.exe
- %LOCALAPPDATA%\cloudsync_vwtqh\rainmeter.dll
- %LOCALAPPDATA%\cloudsync_vwtqh\resource.bin
- %LOCALAPPDATA%\cloudsync_vwtqh\ok.txt
- %LOCALAPPDATA%\cloudsync_vwtqh\rm_diag.log
- %TEMP%\del_donibcep.cmd
- %TEMP%\del_donibcep.vbs
- nul
Другое
Создает и запускает на исполнение
- '%LOCALAPPDATA%\cloudsync_vwtqh\skininstaller.exe'
- '<SYSTEM32>\wscript.exe' //B "%TEMP%\del_donibcep.vbs"
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\del_donibcep.cmd" (со скрытым окном)
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 4
- '%LOCALAPPDATA%\cloudsync_vwtqh\skininstaller.exe' (со скрытым окном)
- '<SYSTEM32>\wscript.exe' //B "%TEMP%\del_donibcep.vbs" (со скрытым окном)
