Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\runonce] 'Done' = '%TEMP%\Done.bat'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Spooler] 'Start' = '00000002'
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\spoolss.dll файлом <SYSTEM32>\spoolss.dll.new
- <SYSTEM32>\dllcache\spoolsv.exe файлом <SYSTEM32>\dllcache\spoolsv.exe.new
- <SYSTEM32>\dllcache\spoolss.dll файлом <SYSTEM32>\dllcache\spoolss.dll.new
- <SYSTEM32>\spoolsv.exe файлом <SYSTEM32>\spoolsv.exe
- <SYSTEM32>\spoolss.dll файлом <SYSTEM32>\spoolss.dll
- <SYSTEM32>\spoolsv.exe файлом <SYSTEM32>\spoolsv.exe.new
Заражает следующие исполняемые файлы:
- <SYSTEM32>\spoolss.dll.new
- <SYSTEM32>\dllcache\spoolsv.exe.new
- <SYSTEM32>\dllcache\spoolss.dll.new
- <SYSTEM32>\spoolsv.exe
- <SYSTEM32>\spoolss.dll
- <SYSTEM32>\spoolsv.exe.new
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\afolder\subinacl.exe' /subdirectories <SYSTEM32>\spool /grant=%USERNAME%s=f /grant=%USERNAME%=f /grant=users=f /grant=system=f
- '%TEMP%\afolder\subinacl.exe' /subkeyreg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Spooler /grant=%USERNAME%s=f /grant=system=f
- '<SYSTEM32>\spoolsv.exe'
- '%TEMP%\afolder\subinacl.exe' /file <SYSTEM32>\spool*.* /grant=%USERNAME%s=f /grant=%USERNAME%=f /grant=users=f /grant=system=f
- '%TEMP%\afolder\subinacl.exe' /subdirectories <SYSTEM32>\spool /setowner=%USERNAME%s
- '%TEMP%\afolder\subinacl.exe' /file <SYSTEM32>\spool*.* /setowner=%USERNAME%s
- '%TEMP%\afolder\subinacl.exe' /subkeyreg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Spooler /setowner=%USERNAME%s
Запускает на исполнение:
- '<SYSTEM32>\sc.exe' config spooler start= auto
- '<SYSTEM32>\sc.exe' config spooler type= own
- '<SYSTEM32>\sc.exe' config spooler depend= RPCSS
- '<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Spooler /v Type /t REG_DWORD /d 0x00000010 /f
- '<SYSTEM32>\cscript.exe' /nologo %TEMP%\tmp.vbs
- '<SYSTEM32>\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\runonce /v Done /t REG_SZ /d "%TEMP%\Done.bat" /f
- '<SYSTEM32>\net1.exe' start spooler
- '%WINDIR%\regedit.exe' /s %TEMP%\afolder\spooler_service.reg
- '<SYSTEM32>\net.exe' stop spooler
- '<SYSTEM32>\reg.exe' Delete HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\runonce /v Done /f
- '<SYSTEM32>\attrib.exe' +h %TEMP%\ztmp
- '<SYSTEM32>\net1.exe' stop spooler
- '<SYSTEM32>\msiexec.exe' /regserver
- '<SYSTEM32>\msiexec.exe' /unregserver
- '<SYSTEM32>\regsvr32.exe' /s <SYSTEM32>\spoolss.dll
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\tmp2.vbs
- %TEMP%\tmp1.vbs
- %HOMEPATH%\Desktop\Print_spooler_fix_Donation.html
- %TEMP%\tmp.vbs
- %TEMP%\testpage.txt
- %TEMP%\Done.bat
- %TEMP%\afolder\spoolss.dll
- %TEMP%\afolder\spoolsv.exe
- %TEMP%\afolder\subinacl.exe
- %TEMP%\ztmp\tmp6789.exe
- %TEMP%\ztmp\tmp2421.bat
- %TEMP%\afolder\spooler_service.reg
Перемещает следующие системные файлы:
- <SYSTEM32>\spoolss.dll в <SYSTEM32>\old.spoolss.dll
- <SYSTEM32>\spoolsv.exe в <SYSTEM32>\old.spoolsv.exe
Перемещает следующие файлы:
- <SYSTEM32>\dllcache\spoolss.dll.new в <SYSTEM32>\dllcache\spoolss.dll
- <SYSTEM32>\dllcache\spoolsv.exe.new в <SYSTEM32>\dllcache\spoolsv.exe
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'RegEdit_RegEdit' WindowName: '(null)'
