Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'EXT_InstallerReboot_F9B6B62309BA4596A53F08C4DC18B280' = '"%TEMP%\SetupTemp0\Starter.exe" /reboot'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\SetupTemp0\<Имя вируса>_elevated.exe'
- '%TEMP%\SetupTemp0\<Имя вируса>.exe'
Запускает на исполнение:
- '<SYSTEM32>\msiexec.exe' -Embedding 2EBBDD8671DEB2E1D16E4647F5B6AD27 C
- '<SYSTEM32>\msiexec.exe' /V
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\SetupTemp0\Title3_1033.rtf_
- %TEMP%\Logfile_PSQ_Analyse.txt
- %TEMP%\SetupTemp0\Title1_1033.rtf_
- %TEMP%\SetupTemp0\Title2_1033.rtf_
- %TEMP%\27545.msi
- %TEMP%\MSI1.tmp
- %TEMP%\SetupTemp0\File1\File1PsqAnalyse.msi_
- %TEMP%\SetupTemp0\File1PsqAnalyse.msi_
- %TEMP%\SetupTemp0\BSSetup.exe_
- %TEMP%\SetupTemp0\BSTools.dll_
- %TEMP%\SetupTemp0\Config.ini_
- %TEMP%\SetupTemp0\BSBoot.exe_
- %TEMP%\SetupTemp0\dbl.bmp_
- %TEMP%\SetupTemp0\gfx1.bmp_
- %TEMP%\SetupTemp0\Starter.exe_
- %TEMP%\SetupTemp0\config.ini
Удаляет следующие файлы:
- %TEMP%\MSI1.tmp
- %TEMP%\SetupTemp0\dbl.bmp
Перемещает следующие файлы:
- %TEMP%\SetupTemp0\dbl.bmp_ в %TEMP%\SetupTemp0\dbl.bmp
- %TEMP%\SetupTemp0\gfx1.bmp_ в %TEMP%\SetupTemp0\gfx1.bmp
- %TEMP%\SetupTemp0\BSBoot.exe в %TEMP%\SetupTemp0\<Имя вируса>_elevated.exe
- %TEMP%\SetupTemp0\BSBoot.exe.manifest в %TEMP%\SetupTemp0\<Имя вируса>_elevated.exe.manifest
- %TEMP%\SetupTemp0\Title1_1033.rtf_ в %TEMP%\SetupTemp0\Title1_1033.rtf
- %TEMP%\SetupTemp0\File1\File1PsqAnalyse.msi_ в %TEMP%\SetupTemp0\File1\PsqAnalyse.msi
- %TEMP%\SetupTemp0\File1PsqAnalyse.msi_ в %TEMP%\SetupTemp0\PsqAnalyse.msi
- %TEMP%\SetupTemp0\Title2_1033.rtf_ в %TEMP%\SetupTemp0\Title2_1033.rtf
- %TEMP%\SetupTemp0\Title3_1033.rtf_ в %TEMP%\SetupTemp0\Title3_1033.rtf
- %TEMP%\SetupTemp0\BSBoot.exe.manifest_ в %TEMP%\SetupTemp0\BSBoot.exe.manifest
- %TEMP%\SetupTemp0\BSSetup.exe_ в %TEMP%\SetupTemp0\BSSetup.exe
- %TEMP%\SetupTemp0\Config.ini_ в %TEMP%\SetupTemp0\config.ini
- %TEMP%\SetupTemp0\BSBoot.exe_ в %TEMP%\SetupTemp0\BSBoot.exe
- %TEMP%\SetupTemp0\BSSetup.exe.manifest_ в %TEMP%\SetupTemp0\BSSetup.exe.manifest
- %TEMP%\SetupTemp0\BSSetup.exe в %TEMP%\SetupTemp0\<Имя вируса>.exe
- %TEMP%\SetupTemp0\BSSetup.exe.manifest в %TEMP%\SetupTemp0\<Имя вируса>.exe.manifest
- %TEMP%\SetupTemp0\BSTools.dll_ в %TEMP%\SetupTemp0\BSTools.dll
- %TEMP%\SetupTemp0\Starter.exe_ в %TEMP%\SetupTemp0\Starter.exe
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
