Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,%ProgramFiles%\junkSearch.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'AppInit_DLLs' = '%WINDIR%\junk.dll'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'LoadAppInit_DLLs' = '00000001'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\shellhost
- <SYSTEM32>\tasks\cookiemanager
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\$recycler\junksearch.exe
- <Имя диска съемного носителя>:\documents.lnk
- <Имя диска съемного носителя>:\photos.lnk
- <Имя диска съемного носителя>:\backup.lnk
Вредоносные функции
Патчит код
в динамической библиотеке
- Процесс svchost.exe, модуль IPHLPAPI.DLL
- Процесс explorer.exe, модуль IPHLPAPI.DLL
- Процесс junksearch.exe, модуль IPHLPAPI.DLL
в динамической библиотеке AMSI
- Процесс znah.exe, модуль Amsi.dll
- Процесс junksearch.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс znah.exe, модуль ntdll.dll
- Процесс svchost.exe, модуль ntdll.dll
- Процесс junksearch.exe, модуль ntdll.dll
- Процесс explorer.exe, модуль ntdll.dll
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\junk.dll
- %ProgramFiles%\junksearch.exe
- %WINDIR%\junksearcher.exe
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
Присваивает атрибут 'скрытый' для следующих файлов
- %WINDIR%\junk.dll
- %ProgramFiles%\junksearch.exe
- %WINDIR%\junksearcher.exe
- <Имя диска съемного носителя>:\$recycler\junksearch.exe
Изменяет следующие файлы
- %ALLUSERSPROFILE%\microsoft\windows\apprepository\staterepository-machine.srd
- %LOCALAPPDATA%\packages\microsoft.windows.search_cw5n1h2txyewy\ac\microsoft\cryptneturlcache\metadata\57c8edb95df3f0ad4ee2dc2b8cfd4157
Сетевая активность
Подключается к
- 'ap#.#pify.org':443
- 'ic###azip.com':443
- 'ap#.msn.com':443
- 'oneocsp.microsoft.com':80
- 'tc#.#loudpub.ru':14221
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?ea##############
- http://oneocsp.microsoft.com/ocsp/MFQwUjBQME4wTDAJBgUrDgMCGgUABBR0TBEVYklX7A9yLoLD9hqmCWDxFgQU3pGGSLehMVkx8UtfB6nciHnaqHYCEzMAAAAMSWShb0QgOyIAAAAAAAw%3D
Другие
- 'ap#.#pify.org':443
- 'ic###azip.com':443
- 'ap#.msn.com':443
UDP
- DNS ASK ap#.#pify.org
- DNS ASK ic###azip.com
- DNS ASK ap#.msn.com
- DNS ASK oneocsp.microsoft.com
- DNS ASK tc#.#loudpub.ru
Другое
Ищет следующие окна
- ClassName: 'Progman' WindowName: ''
- ClassName: 'Proxy Desktop' WindowName: ''
- ClassName: 'ApplicationFrameWindow' WindowName: ''
- ClassName: 'SystemTray_Main' WindowName: ''
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: 'BluetoothNotificationAreaIconWindowClass'
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles%\junksearch.exe'
Запускает на исполнение
- '%WINDIR%\explorer.exe'
- '<SYSTEM32>\cmd.exe' 471|FGDky4uPmg0LARJuShcFM/IWFJRlrdB1st6moIsNN7oPYPxwTWNFEtcOampjBQBzWindowsControl472|B7GvYRj3pfU1qnVs3YUnViBc07a0dQB0uxqxCRfOETY=%ProgramFiles%\junkSearch.exe" enable=yes & exit
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc minute /mo 1 /tn "ShellHost" /tr "%ProgramFiles%\junkSearch.exe" /RL HIGHEST & exit
- '<SYSTEM32>\schtasks.exe' /create /f /sc minute /mo 1 /tn "ShellHost" /tr "%ProgramFiles%\junkSearch.exe" /RL HIGHEST
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc minute /mo 30 /tn "CookieManager" /tr "%WINDIR%\junkSearcher.exe" /RL HIGHEST & exit
- '<SYSTEM32>\schtasks.exe' /create /f /sc minute /mo 30 /tn "CookieManager" /tr "%WINDIR%\junkSearcher.exe" /RL HIGHEST
- '%WINDIR%\systemapps\microsoft.windows.search_cw5n1h2txyewy\searchapp.exe' -ServerName:CortanaUI.AppX8z9r6jm96hw4bsbneegw0kyxx296wr9t.mca
- '<SYSTEM32>\svchost.exe' -k appmodel -p -s camsvc
