Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,<SYSTEM32>\MPK\MPK.exe'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%ALLUSERSPROFILE%\Application Data\MPK\Mpk.exe' = '%ALLUSERSPROFILE%\Application Data\MPK\Mpk.exe:*:Enabled:TCP\IP'
Создает и запускает на исполнение:
- '%ALLUSERSPROFILE%\Application Data\MPK\mpk.exe'
- '%TEMP%\is-VVM77.tmp\is-MGMTG.tmp' /SL4 $3007E "%PROGRAM_FILES%\Company\Facebook Hack\MpkNetInstall.exe" 4915864 52736 /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /NET
- '%PROGRAM_FILES%\Company\Facebook Hack\MpkNetInstall.exe' /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /NET
Запускает на исполнение:
- '<SYSTEM32>\wscript.exe' "%PROGRAM_FILES%\Company\Facebook Hack\logstart.vbs"
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Application Data\MPK\is-TODR0.tmp
- %ALLUSERSPROFILE%\Application Data\MPK\is-REGAF.tmp
- %ALLUSERSPROFILE%\Application Data\MPK\unins000.dat
- %ALLUSERSPROFILE%\Application Data\MPK\is-RJ6KV.tmp
- %ALLUSERSPROFILE%\Application Data\MPK\is-AQP5V.tmp
- %ALLUSERSPROFILE%\Application Data\MPK\is-6KP2A.tmp
- %ALLUSERSPROFILE%\Application Data\MPK\is-S6PA7.tmp
- %ALLUSERSPROFILE%\Application Data\MPK\1\S0000
- %ALLUSERSPROFILE%\Application Data\MPK\1\D0000-journal
- %ALLUSERSPROFILE%\Application Data\MPK\1\D0000
- %ALLUSERSPROFILE%\Application Data\MPK\M0000
- %ALLUSERSPROFILE%\Application Data\MPK\key.bin
- %ALLUSERSPROFILE%\Application Data\MPK\S0000
- %ALLUSERSPROFILE%\Application Data\MPK\M0000-journal
- %ALLUSERSPROFILE%\Application Data\MPK\is-HPH7O.tmp
- %PROGRAM_FILES%\Company\Facebook Hack\MpkNetInstall.exe
- %PROGRAM_FILES%\Company\Facebook Hack\settings.bin
- %HOMEPATH%\Desktop\Facebook Hack.exe
- %PROGRAM_FILES%\Company\Facebook Hack\logstart.vbs
- %TEMP%\$inst\2.tmp
- %TEMP%\$inst\temp_0.tmp
- %PROGRAM_FILES%\Company\Facebook Hack\key.bin
- %TEMP%\is-PNGDR.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-PNGDR.tmp\mpkf.dll
- %ALLUSERSPROFILE%\Application Data\MPK\is-BC4OV.tmp
- %TEMP%\is-PNGDR.tmp\_isetup\_RegDLL.tmp
- %HOMEPATH%\Recent\logstart.lnk
- %HOMEPATH%\Recent\Facebook Hack.lnk
- %TEMP%\is-VVM77.tmp\is-MGMTG.tmp
Удаляет следующие файлы:
- %HOMEPATH%\Recent\logstart.lnk
- %TEMP%\is-VVM77.tmp\is-MGMTG.tmp
- %ALLUSERSPROFILE%\Application Data\MPK\1\D0000-journal
- %ALLUSERSPROFILE%\Application Data\MPK\M0000-journal
- %TEMP%\is-PNGDR.tmp\_isetup\_shfoldr.dll
- %TEMP%\$inst\2.tmp
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\is-PNGDR.tmp\_isetup\_RegDLL.tmp
- %TEMP%\is-PNGDR.tmp\mpkf.dll
Перемещает следующие файлы:
- %ALLUSERSPROFILE%\Application Data\MPK\is-RJ6KV.tmp в %ALLUSERSPROFILE%\Application Data\MPK\ssleay32.dll
- %ALLUSERSPROFILE%\Application Data\MPK\is-S6PA7.tmp в %ALLUSERSPROFILE%\Application Data\MPK\libeay32.dll
- %ALLUSERSPROFILE%\Application Data\MPK\is-REGAF.tmp в %ALLUSERSPROFILE%\Application Data\MPK\mpk.exe
- %ALLUSERSPROFILE%\Application Data\MPK\is-TODR0.tmp в %ALLUSERSPROFILE%\Application Data\MPK\mpk64.exe
- %ALLUSERSPROFILE%\Application Data\MPK\is-HPH7O.tmp в %ALLUSERSPROFILE%\Application Data\MPK\sqlite3.dll
- %ALLUSERSPROFILE%\Application Data\MPK\is-BC4OV.tmp в %ALLUSERSPROFILE%\Application Data\MPK\unins000.exe
- %ALLUSERSPROFILE%\Application Data\MPK\is-6KP2A.tmp в %ALLUSERSPROFILE%\Application Data\MPK\Mpk64.dll
- %ALLUSERSPROFILE%\Application Data\MPK\is-AQP5V.tmp в %ALLUSERSPROFILE%\Application Data\MPK\Mpk.dll
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
