Техническая информация
Для обеспечения автозапуска и распространения:
Изменяет следующие исполняемые системные файлы:
- <SYSTEM32>\ctfmon.exe
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\dllcache\ctfmon.exe файлом <SYSTEM32>\dllcache\ctfmon.exe.new
- <SYSTEM32>\ctfmon.exe файлом <SYSTEM32>\ctfmon.exe.new
Заражает следующие исполняемые файлы:
- <SYSTEM32>\dllcache\ctfmon.exe.new
- <SYSTEM32>\ctfmon.exe.new
- <SYSTEM32>\ctfmon.exe
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\ctfmon.exe'
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\ctfmon.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nstsc93.txt
- %TEMP%\nstsc92.txt
- %TEMP%\nstsc95.txt
- %TEMP%\nstsc94.txt
- %TEMP%\nstsc89.txt
- %TEMP%\nstsc88.txt
- %TEMP%\nstsc91.txt
- %TEMP%\nstsc90.txt
- %TEMP%\nstsc96.txt
- %TEMP%\nstsc102.txt
- %TEMP%\nstsc101.txt
- %TEMP%\nstsc104.txt
- %TEMP%\nstsc103.txt
- %TEMP%\nstsc98.txt
- %TEMP%\nstsc97.txt
- %TEMP%\nstsc100.txt
- %TEMP%\nstsc99.txt
- %TEMP%\nstsc87.txt
- %TEMP%\nstsc75.txt
- %TEMP%\nstsc74.txt
- %TEMP%\nstsc77.txt
- %TEMP%\nstsc76.txt
- %TEMP%\nstsc71.txt
- %TEMP%\nstsc70.txt
- %TEMP%\nstsc73.txt
- %TEMP%\nstsc72.txt
- %TEMP%\nstsc78.txt
- %TEMP%\nstsc84.txt
- %TEMP%\nstsc83.txt
- %TEMP%\nstsc86.txt
- %TEMP%\nstsc85.txt
- %TEMP%\nstsc80.txt
- %TEMP%\nstsc79.txt
- %TEMP%\nstsc82.txt
- %TEMP%\nstsc81.txt
- %TEMP%\nstsc128.txt
- %TEMP%\nstsc127.txt
- %TEMP%\nstsc130.txt
- %TEMP%\nstsc129.txt
- %TEMP%\nstsc124.txt
- %TEMP%\nstsc123.txt
- %TEMP%\nstsc126.txt
- %TEMP%\nstsc125.txt
- %TEMP%\nstsc131.txt
- %TEMP%\nstsc137.txt
- %TEMP%\nstsc136.txt
- %TEMP%\nstsc139.txt
- %TEMP%\nstsc138.txt
- %TEMP%\nstsc133.txt
- %TEMP%\nstsc132.txt
- %TEMP%\nstsc135.txt
- %TEMP%\nstsc134.txt
- %TEMP%\nstsc122.txt
- %TEMP%\nstsc110.txt
- %TEMP%\nstsc109.txt
- %TEMP%\nstsc112.txt
- %TEMP%\nstsc111.txt
- %TEMP%\nstsc106.txt
- %TEMP%\nstsc105.txt
- %TEMP%\nstsc108.txt
- %TEMP%\nstsc107.txt
- %TEMP%\nstsc113.txt
- %TEMP%\nstsc119.txt
- %TEMP%\nstsc118.txt
- %TEMP%\nstsc121.txt
- %TEMP%\nstsc120.txt
- %TEMP%\nstsc115.txt
- %TEMP%\nstsc114.txt
- %TEMP%\nstsc117.txt
- %TEMP%\nstsc116.txt
- %TEMP%\nstsc69.txt
- %TEMP%\nstsc22.txt
- %TEMP%\nstsc21.txt
- %TEMP%\nstsc24.txt
- %TEMP%\nstsc23.txt
- %TEMP%\nstsc18.txt
- %TEMP%\nstsc17.txt
- %TEMP%\nstsc20.txt
- %TEMP%\nstsc19.txt
- %TEMP%\nstsc25.txt
- %TEMP%\nstsc31.txt
- %TEMP%\nstsc30.txt
- %TEMP%\nstsc33.txt
- %TEMP%\nstsc32.txt
- %TEMP%\nstsc27.txt
- %TEMP%\nstsc26.txt
- %TEMP%\nstsc29.txt
- %TEMP%\nstsc28.txt
- %TEMP%\nstsc16.txt
- %TEMP%\nstsc4.txt
- %TEMP%\nstsc3.txt
- %TEMP%\nstsc6.txt
- %TEMP%\nstsc5.txt
- <SYSTEM32>\config.ini
- %TEMP%\config.ini
- %TEMP%\nstsc2.txt
- %TEMP%\nstsc1.txt
- %TEMP%\nstsc7.txt
- %TEMP%\nstsc13.txt
- %TEMP%\nstsc12.txt
- %TEMP%\nstsc15.txt
- %TEMP%\nstsc14.txt
- %TEMP%\nstsc9.txt
- %TEMP%\nstsc8.txt
- %TEMP%\nstsc11.txt
- %TEMP%\nstsc10.txt
- %TEMP%\nstsc57.txt
- %TEMP%\nstsc56.txt
- %TEMP%\nstsc59.txt
- %TEMP%\nstsc58.txt
- %TEMP%\nstsc53.txt
- %TEMP%\nstsc52.txt
- %TEMP%\nstsc55.txt
- %TEMP%\nstsc54.txt
- %TEMP%\nstsc60.txt
- %TEMP%\nstsc66.txt
- %TEMP%\nstsc65.txt
- %TEMP%\nstsc68.txt
- %TEMP%\nstsc67.txt
- %TEMP%\nstsc62.txt
- %TEMP%\nstsc61.txt
- %TEMP%\nstsc64.txt
- %TEMP%\nstsc63.txt
- %TEMP%\nstsc51.txt
- %TEMP%\nstsc39.txt
- %TEMP%\nstsc38.txt
- %TEMP%\nstsc41.txt
- %TEMP%\nstsc40.txt
- %TEMP%\nstsc35.txt
- %TEMP%\nstsc34.txt
- %TEMP%\nstsc37.txt
- %TEMP%\nstsc36.txt
- %TEMP%\nstsc42.txt
- %TEMP%\nstsc48.txt
- %TEMP%\nstsc47.txt
- %TEMP%\nstsc50.txt
- %TEMP%\nstsc49.txt
- %TEMP%\nstsc44.txt
- %TEMP%\nstsc43.txt
- %TEMP%\nstsc46.txt
- %TEMP%\nstsc45.txt
Удаляет следующие файлы:
- <SYSTEM32>\ctfmon.exe.tmp
Перемещает следующие файлы:
- <SYSTEM32>\dllcache\ctfmon.exe.new в <SYSTEM32>\dllcache\ctfmon.exe
- <SYSTEM32>\ctfmon.exe в <SYSTEM32>\ctfmon.exe.tmp
Сетевая активность:
Подключается к:
- 'a1##.com':80
TCP:
Запросы HTTP GET:
- a1##.com/mstsc/chick/nail.txt
UDP:
- DNS ASK a1##.com
