Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\Java Update.lnk
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\Sum\Microsoft\java.exe'
- '%TEMP%\RarSFX0\javaTM.exe'
- '%APPDATA%\javax\java.exe'
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /IM JavaUe.exe /f
- '<SYSTEM32>\taskkill.exe' /IM java.exe /f
- '<SYSTEM32>\ipconfig.exe' /all
- '<SYSTEM32>\taskkill.exe' /IM JavaS.exe /f
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %APPDATA%\javax\unionpatriotica.jpg
- '<SYSTEM32>\taskkill.exe' /IM UpJava.exe /f
- '<SYSTEM32>\taskkill.exe' /IM Javack.exe /f
Завершает или пытается завершить
следующие пользовательские процессы:
- java.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Sum\Microsoft\_win32sysloader.pyd
- %APPDATA%\MicroDes\avwebdel.exe
- %APPDATA%\MicroDes\bz2.pyd
- %APPDATA%\Sum\Microsoft\_ssl.pyd
- %APPDATA%\Sum\Microsoft\_multiprocessing.pyd
- %APPDATA%\Sum\Microsoft\_portaudio.pyd
- %APPDATA%\Sum\Microsoft\_socket.pyd
- %APPDATA%\MicroDes\JavaS.exe
- %APPDATA%\MicroDes\javaTM.exe
- %APPDATA%\MicroDes\JavaUe.exe
- %APPDATA%\MicroDes\Javack.exe
- %APPDATA%\MicroDes\caso.txt
- %APPDATA%\MicroDes\Crypto.Cipher.AES.pyd
- %APPDATA%\MicroDes\java.exe
- %APPDATA%\Sum\Microsoft\vidcap.pyd
- %APPDATA%\Sum\Microsoft\w9xpopen.exe
- %APPDATA%\Sum\Microsoft\win32api.pyd
- %APPDATA%\Sum\Microsoft\UpJava.exe
- %APPDATA%\Sum\Microsoft\pywintypes27.dll
- %APPDATA%\Sum\Microsoft\ruta.txt
- %APPDATA%\Sum\Microsoft\select.pyd
- %APPDATA%\Sum\Microsoft\win32ui.pyd
- %APPDATA%\Sum\Microsoft\_ctypes.pyd
- %APPDATA%\Sum\Microsoft\_hashlib.pyd
- %APPDATA%\Sum\Microsoft\win32pdh.pyd
- %APPDATA%\Sum\Microsoft\win32clipboard.pyd
- %APPDATA%\Sum\Microsoft\win32file.pyd
- %APPDATA%\Sum\Microsoft\win32gui.pyd
- %APPDATA%\MicroDes\lame.exe
- %APPDATA%\MicroDes\win32ui.pyd
- %APPDATA%\MicroDes\_ctypes.pyd
- %APPDATA%\MicroDes\_hashlib.pyd
- %APPDATA%\MicroDes\win32pdh.pyd
- %APPDATA%\MicroDes\win32clipboard.pyd
- %APPDATA%\MicroDes\win32file.pyd
- %APPDATA%\MicroDes\win32gui.pyd
- %APPDATA%\MicroDes\_win32sysloader.pyd
- %APPDATA%\Sum\Encryp\Sysinfo.txt
- %APPDATA%\Sum\Logs.htm
- %APPDATA%\MicroDes\_ssl.pyd
- %APPDATA%\MicroDes\_multiprocessing.pyd
- %APPDATA%\MicroDes\_portaudio.pyd
- %APPDATA%\MicroDes\_socket.pyd
- %APPDATA%\MicroDes\pyHook._cpyHook.pyd
- %APPDATA%\MicroDes\python27.dll
- %APPDATA%\MicroDes\pythoncom27.dll
- %APPDATA%\MicroDes\pyexpat.pyd
- %APPDATA%\MicroDes\lame_enc.dll
- %APPDATA%\MicroDes\PIL._imaging.pyd
- %APPDATA%\MicroDes\PIL._imagingft.pyd
- %APPDATA%\MicroDes\vidcap.pyd
- %APPDATA%\MicroDes\w9xpopen.exe
- %APPDATA%\MicroDes\win32api.pyd
- %APPDATA%\MicroDes\UpJava.exe
- %APPDATA%\MicroDes\pywintypes27.dll
- %APPDATA%\MicroDes\ruta.txt
- %APPDATA%\MicroDes\select.pyd
- %TEMP%\RarSFX0\_hashlib.pyd
- %TEMP%\RarSFX0\_multiprocessing.pyd
- %TEMP%\RarSFX0\_portaudio.pyd
- %TEMP%\RarSFX0\_ctypes.pyd
- %HOMEPATH%\Recent\javax.lnk
- %TEMP%\RarSFX0\pythoncom27.dll
- %TEMP%\RarSFX0\pywintypes27.dll
- %TEMP%\RarSFX0\Crypto.Cipher.AES.pyd
- %TEMP%\RarSFX0\PIL._imaging.pyd
- %TEMP%\RarSFX0\PIL._imagingft.pyd
- %TEMP%\RarSFX0\bz2.pyd
- %TEMP%\RarSFX0\_socket.pyd
- %TEMP%\RarSFX0\_ssl.pyd
- %TEMP%\RarSFX0\_win32sysloader.pyd
- %TEMP%\RarSFX0\Javack.exe
- %TEMP%\RarSFX0\JavaS.exe
- %TEMP%\RarSFX0\javaTM.exe
- %TEMP%\RarSFX0\java.exe
- %APPDATA%\javax\java.exe
- %APPDATA%\javax\unionpatriotica.jpg
- %TEMP%\RarSFX0\avwebdel.exe
- %TEMP%\RarSFX0\w9xpopen.exe
- %TEMP%\RarSFX0\lame_enc.dll
- %TEMP%\RarSFX0\python27.dll
- %TEMP%\RarSFX0\UpJava.exe
- %HOMEPATH%\Recent\unionpatriotica.lnk
- %TEMP%\RarSFX0\JavaUe.exe
- %TEMP%\RarSFX0\lame.exe
- %TEMP%\RarSFX0\pyexpat.pyd
- %APPDATA%\Sum\Microsoft\javaTM.exe
- %APPDATA%\Sum\Microsoft\JavaUe.exe
- %APPDATA%\Sum\Microsoft\lame.exe
- %APPDATA%\Sum\Microsoft\JavaS.exe
- %APPDATA%\Sum\Microsoft\Crypto.Cipher.AES.pyd
- %APPDATA%\Sum\Microsoft\java.exe
- %APPDATA%\Sum\Microsoft\Javack.exe
- %APPDATA%\Sum\Microsoft\pyHook._cpyHook.pyd
- %APPDATA%\Sum\Microsoft\python27.dll
- %APPDATA%\Sum\Microsoft\pythoncom27.dll
- %APPDATA%\Sum\Microsoft\pyexpat.pyd
- %APPDATA%\Sum\Microsoft\lame_enc.dll
- %APPDATA%\Sum\Microsoft\PIL._imaging.pyd
- %APPDATA%\Sum\Microsoft\PIL._imagingft.pyd
- %TEMP%\RarSFX0\win32clipboard.pyd
- %TEMP%\RarSFX0\win32file.pyd
- %TEMP%\RarSFX0\win32gui.pyd
- %TEMP%\RarSFX0\win32api.pyd
- %TEMP%\RarSFX0\pyHook._cpyHook.pyd
- %TEMP%\RarSFX0\select.pyd
- %TEMP%\RarSFX0\vidcap.pyd
- %APPDATA%\Sum\Microsoft\avwebdel.exe
- %APPDATA%\Sum\Microsoft\bz2.pyd
- %APPDATA%\Sum\Microsoft\caso.txt
- %TEMP%\RarSFX0\caso.txt
- %TEMP%\RarSFX0\win32pdh.pyd
- %TEMP%\RarSFX0\win32ui.pyd
- %TEMP%\RarSFX0\ruta.txt
Сетевая активность:
Подключается к:
- 'fr##abe.com':80
TCP:
Запросы HTTP GET:
- fr##abe.com/
- fr##abe.com/ip.php
UDP:
- DNS ASK fr##abe.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'ShImgVw:CPreviewWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
