Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\OCS INVENTORY] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\OCS Inventory Agent\OcsService.exe' -start
- '%PROGRAM_FILES%\OCS Inventory Agent\OcsService.exe'
- '%PROGRAM_FILES%\OCS Inventory Agent\OCSInventory.exe' /SERVER:72.5.247.239 /PNUM:80 /NP
- '%TEMP%\nsc2.tmp\instocs.exe'
- '%TEMP%\nsc2.tmp\OcsSetup.exe' /S /server:72.5.247.239 /np /now /NoOcs_ContactLnk /UPGRADE
- '%PROGRAM_FILES%\OCS Inventory Agent\OcsService.exe' -install
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\OCS Inventory Agent\OcsService.dll
- %PROGRAM_FILES%\OCS Inventory Agent\OCSInventory.exe
- %PROGRAM_FILES%\OCS Inventory Agent\OcsWmi.dll
- %PROGRAM_FILES%\OCS Inventory Agent\OcsService.exe
- %PROGRAM_FILES%\OCS Inventory Agent\Mfc42.dll
- %PROGRAM_FILES%\OCS Inventory Agent\download.exe
- %PROGRAM_FILES%\OCS Inventory Agent\BiosInfo.exe
- %PROGRAM_FILES%\OCS Inventory Agent\Libeay32.dll
- %PROGRAM_FILES%\OCS Inventory Agent\inst32.exe
- %PROGRAM_FILES%\OCS Inventory Agent\rand
- %PROGRAM_FILES%\OCS Inventory Agent\CRNJEUFU.log
- %PROGRAM_FILES%\OCS Inventory Agent\label
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\label[1]
- %PROGRAM_FILES%\OCS Inventory Agent\service.ini
- %PROGRAM_FILES%\OCS Inventory Agent\SysInfo.dll
- %PROGRAM_FILES%\OCS Inventory Agent\SSLeay32.dll
- %PROGRAM_FILES%\OCS Inventory Agent\Zlib.dll
- %PROGRAM_FILES%\OCS Inventory Agent\PsApi.dll
- %PROGRAM_FILES%\OCS Inventory Agent\Ocs_contact.exe
- %TEMP%\nsc2.tmp\ocsdat.ini
- %TEMP%\nsc2.tmp\instocs.exe
- %TEMP%\nsq4.tmp\System.dll
- %TEMP%\nsc2.tmp\UserInfo.dll
- %TEMP%\nsc2.tmp\pack.ico
- %TEMP%\nsc2.tmp\System.dll
- <Текущая директория>\ocspackage.log
- %TEMP%\nsc2.tmp\OcsSetup.exe
- %TEMP%\nsc2.tmp\RemCom.exe
- %TEMP%\nss7.tmp\AdvSplash.dll
- %TEMP%\nss7.tmp\SetACL.exe
- %TEMP%\nss7.tmp\KillProcDLL.dll
- %TEMP%\nss7.tmp\UserInfo.dll
- %TEMP%\nss7.tmp\splash.bmp
- %TEMP%\nsc2.tmp\OcsAgentSetup.log
- %TEMP%\nsl6.tmp
- %TEMP%\nss7.tmp\options.ini
- %TEMP%\nss7.tmp\System.dll
Удаляет следующие файлы:
- %PROGRAM_FILES%\OCS Inventory Agent\rand
Сетевая активность:
Подключается к:
- '72.#.247.239':80
TCP:
Запросы HTTP GET:
- 72.#.247.239/ocsinventory/deploy/label
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
