Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{ef2b00e3-19da-4e78-b118-6b6451b719f2}] 'StubPath' = '"<SYSTEM32>\mscaps.exe" /s /n /i:U shell32.dll'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Windows Defender Extension' = '"%APPDATA%\Roaming\Microsoft\Defender\launch.exe"'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\Roaming\Microsoft\Defender\launch.exe' /i 204
- '%TEMP%\wtmps.exe'
- '<SYSTEM32>\mscaps.exe' /%TEMP%\wtmps.exe
- '%TEMP%\@AEB644.tmp.exe'
- '%TEMP%\<Имя вируса>.exe'
- '%APPDATA%\Roaming\Microsoft\Messenger\Extension\WdExt.exe'
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\Roaming\Temp\FFPXOMEV1.bat" "
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\Roaming\Temp\FFPXOMEV0.bat" "
- '%WINDIR%\explorer.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\tmpD4CF.tmp
- %APPDATA%\Roaming\Microsoft\Caches\Files\usd.dll
- %TEMP%\tmpD51E.tmp
- %APPDATA%\Roaming\Microsoft\Repairs\sha.dll
- %TEMP%\tmpD422.tmp
- %APPDATA%\Roaming\Microsoft\Shared\Modules\fil.dll
- %TEMP%\tmpD471.tmp
- <SYSTEM32>\mscaps.exe
- %TEMP%\F0F2.tmp
- <SYSTEM32>\wtime32.dll
- %TEMP%\tmpD5FB.tmp
- %APPDATA%\Roaming\Microsoft\Defender\launch.exe
- %TEMP%\tmpD57D.tmp
- %TEMP%\wtmps.exe
- %APPDATA%\Roaming\Microsoft\Common\Shared\dis.dll
- %TEMP%\tmpC052.tmp
- %TEMP%\SpC948.tmp
- %TEMP%\SeC949.tmp
- %APPDATA%\Roaming\Microsoft\Messenger\Extension\WdExt.exe
- %TEMP%\<Имя вируса>.exe
- %TEMP%\@AEB644.tmp.exe
- %APPDATA%\Roaming\Temp\mydll.dll
- %TEMP%\tmpD2B9.tmp
- %APPDATA%\Roaming\Microsoft\Windows\Addins\att.dll
- %TEMP%\tmpD394.tmp
- %APPDATA%\Roaming\Microsoft\Identities\FFPXOMEV\arc.dll
- %TEMP%\tmpC959.tmp
- %APPDATA%\Roaming\Temp\FFPXOMEV0.bat
- %APPDATA%\Roaming\Temp\FFPXOMEV1.bat
Удаляет следующие файлы:
- %TEMP%\tmpD51E.tmp
- %TEMP%\tmpD4CF.tmp
- %TEMP%\tmpD471.tmp
- %TEMP%\tmpD57D.tmp
- %TEMP%\F0F2.tmp
- %TEMP%\wtmps.exe
- %TEMP%\tmpD5FB.tmp
- %TEMP%\tmpD422.tmp
- %TEMP%\SeC949.tmp
- %TEMP%\SpC948.tmp
- %TEMP%\tmpC052.tmp
- %APPDATA%\Roaming\Temp\mydll.dll
- %TEMP%\tmpD394.tmp
- %TEMP%\tmpD2B9.tmp
- %TEMP%\@AEB644.tmp.exe
Сетевая активность:
UDP:
- DNS ASK a.###s.perl.sh
- DNS ASK yE########ksBgYGBgYGBgYGBgbm.g.s
- DNS ASK windowsupdate.microsoft.com
- DNS ASK up####.microsoft.com
- 'a.###s.perl.sh':59673
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
