Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\Java Update.lnk
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\jre8\lib\java.exe'
- '%TEMP%\RarSFX0\jsse.exe'
- '%APPDATA%\java\JavagyT.scr' /S
Запускает на исполнение:
- '<SYSTEM32>\schtasks.exe' /create /ST 00:00:01 /SC MINUTE /MO 60 /TR "\"%APPDATA%\Desjr\jfxrt.exe"\" /TN Java_Upda
- '<SYSTEM32>\schtasks.exe' /Delete /TN "Microsoft_up" /F
- '<SYSTEM32>\schtasks.exe' /Delete /TN "Java_Upda" /F
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\jre8\lib\_win32sysloader.pyd
- %APPDATA%\Desjr\bz2.pyd
- %APPDATA%\Desjr\co
- %APPDATA%\jre8\lib\_multiprocessing.pyd
- %APPDATA%\jre8\lib\_socket.pyd
- %APPDATA%\jre8\lib\_ssl.pyd
- %APPDATA%\Desjr\Crypto.Cipher.AES.pyd
- %APPDATA%\Desjr\javact.exe
- %APPDATA%\Desjr\jce.exe
- %APPDATA%\Desjr\jfr.exe
- %APPDATA%\Desjr\cve.dll
- %APPDATA%\Desjr\java.exe
- %APPDATA%\Desjr\javacl.exe
- %APPDATA%\jre8\lib\_hashlib.pyd
- %APPDATA%\jre8\lib\ver
- %APPDATA%\jre8\lib\vidcap.pyd
- %APPDATA%\jre8\lib\w9xpopen.exe
- %APPDATA%\jre8\lib\pywintypes27.dll
- %APPDATA%\jre8\lib\ruta.txt
- %APPDATA%\jre8\lib\select.pyd
- %APPDATA%\jre8\lib\win32api.pyd
- %APPDATA%\jre8\lib\win32pdh.pyd
- %APPDATA%\jre8\lib\win32ui.pyd
- %APPDATA%\jre8\lib\_ctypes.pyd
- %APPDATA%\jre8\lib\win32clipboard.pyd
- %APPDATA%\jre8\lib\win32file.pyd
- %APPDATA%\jre8\lib\win32gui.pyd
- %APPDATA%\Desjr\jfxrt.exe
- %APPDATA%\Desjr\win32pdh.pyd
- %APPDATA%\Desjr\win32ui.pyd
- %APPDATA%\Desjr\_ctypes.pyd
- %APPDATA%\Desjr\win32clipboard.pyd
- %APPDATA%\Desjr\win32file.pyd
- %APPDATA%\Desjr\win32gui.pyd
- %APPDATA%\Desjr\_hashlib.pyd
- %APPDATA%\Desjr\_win32sysloader.pyd
- %APPDATA%\jre8\lib\date
- %APPDATA%\jre8\Kegl
- %APPDATA%\Desjr\_multiprocessing.pyd
- %APPDATA%\Desjr\_socket.pyd
- %APPDATA%\Desjr\_ssl.pyd
- %APPDATA%\Desjr\win32api.pyd
- %APPDATA%\Desjr\pyexpat.pyd
- %APPDATA%\Desjr\pyHook._cpyHook.pyd
- %APPDATA%\Desjr\python27.dll
- %APPDATA%\Desjr\jsse.exe
- %APPDATA%\Desjr\PIL._imaging.pyd
- %APPDATA%\Desjr\PIL._imagingft.pyd
- %APPDATA%\Desjr\pythoncom27.dll
- %APPDATA%\Desjr\ver
- %APPDATA%\Desjr\vidcap.pyd
- %APPDATA%\Desjr\w9xpopen.exe
- %APPDATA%\Desjr\pywintypes27.dll
- %APPDATA%\Desjr\ruta.txt
- %APPDATA%\Desjr\select.pyd
- %TEMP%\RarSFX0\ver
- %TEMP%\RarSFX0\_ctypes.pyd
- %TEMP%\RarSFX0\_hashlib.pyd
- %TEMP%\RarSFX0\pythoncom27.dll
- %TEMP%\RarSFX0\pywintypes27.dll
- %TEMP%\RarSFX0\co
- %TEMP%\RarSFX0\_multiprocessing.pyd
- %TEMP%\RarSFX0\bz2.pyd
- %TEMP%\RarSFX0\Crypto.Cipher.AES.pyd
- %TEMP%\RarSFX0\PIL._imaging.pyd
- %TEMP%\RarSFX0\_socket.pyd
- %TEMP%\RarSFX0\_ssl.pyd
- %TEMP%\RarSFX0\_win32sysloader.pyd
- %TEMP%\RarSFX0\python27.dll
- %TEMP%\RarSFX0\ruta.txt
- %TEMP%\RarSFX0\java.exe
- %TEMP%\RarSFX0\javacl.exe
- %APPDATA%\java\JavagyT.scr
- %APPDATA%\java\Notificacion_Judicial_No_8030923_2014.doc
- %TEMP%\ms505.tmp
- %TEMP%\RarSFX0\javact.exe
- %TEMP%\RarSFX0\jsse.exe
- %TEMP%\RarSFX0\w9xpopen.exe
- %TEMP%\RarSFX0\cve.dll
- %TEMP%\RarSFX0\jce.exe
- %TEMP%\RarSFX0\jfr.exe
- %TEMP%\RarSFX0\jfxrt.exe
- %TEMP%\RarSFX0\PIL._imagingft.pyd
- %APPDATA%\jre8\lib\jce.exe
- %APPDATA%\jre8\lib\jfr.exe
- %APPDATA%\jre8\lib\jfxrt.exe
- %APPDATA%\jre8\lib\java.exe
- %APPDATA%\jre8\lib\javacl.exe
- %APPDATA%\jre8\lib\javact.exe
- %APPDATA%\jre8\lib\jsse.exe
- %APPDATA%\jre8\lib\pyHook._cpyHook.pyd
- %APPDATA%\jre8\lib\python27.dll
- %APPDATA%\jre8\lib\pythoncom27.dll
- %APPDATA%\jre8\lib\PIL._imaging.pyd
- %APPDATA%\jre8\lib\PIL._imagingft.pyd
- %APPDATA%\jre8\lib\pyexpat.pyd
- %APPDATA%\jre8\lib\cve.dll
- %TEMP%\RarSFX0\vidcap.pyd
- %TEMP%\RarSFX0\win32api.pyd
- %TEMP%\RarSFX0\win32clipboard.pyd
- %TEMP%\RarSFX0\pyexpat.pyd
- %TEMP%\RarSFX0\pyHook._cpyHook.pyd
- %TEMP%\RarSFX0\select.pyd
- %TEMP%\RarSFX0\win32file.pyd
- %APPDATA%\jre8\lib\bz2.pyd
- %APPDATA%\jre8\lib\co
- %APPDATA%\jre8\lib\Crypto.Cipher.AES.pyd
- %TEMP%\RarSFX0\win32gui.pyd
- %TEMP%\RarSFX0\win32pdh.pyd
- %TEMP%\RarSFX0\win32ui.pyd
Удаляет следующие файлы:
- %TEMP%\RarSFX0\win32api.pyd
- %TEMP%\RarSFX0\w9xpopen.exe
- %TEMP%\RarSFX0\win32file.pyd
- %TEMP%\RarSFX0\win32clipboard.pyd
- %TEMP%\RarSFX0\select.pyd
- %TEMP%\RarSFX0\ruta.txt
- %TEMP%\RarSFX0\vidcap.pyd
- %TEMP%\RarSFX0\ver
- %TEMP%\RarSFX0\win32gui.pyd
- %TEMP%\RarSFX0\_socket.pyd
- %TEMP%\RarSFX0\_multiprocessing.pyd
- %TEMP%\RarSFX0\_win32sysloader.pyd
- %TEMP%\RarSFX0\_ssl.pyd
- %TEMP%\RarSFX0\win32ui.pyd
- %TEMP%\RarSFX0\win32pdh.pyd
- %TEMP%\RarSFX0\_hashlib.pyd
- %TEMP%\RarSFX0\_ctypes.pyd
- %TEMP%\RarSFX0\pywintypes27.dll
- %TEMP%\RarSFX0\javacl.exe
- %TEMP%\RarSFX0\java.exe
- %TEMP%\RarSFX0\jce.exe
- %TEMP%\RarSFX0\javact.exe
- %TEMP%\RarSFX0\co
- %TEMP%\RarSFX0\bz2.pyd
- %TEMP%\RarSFX0\cve.dll
- %TEMP%\RarSFX0\Crypto.Cipher.AES.pyd
- %TEMP%\RarSFX0\jfr.exe
- %TEMP%\RarSFX0\pyHook._cpyHook.pyd
- %TEMP%\RarSFX0\pyexpat.pyd
- %TEMP%\RarSFX0\pythoncom27.dll
- %TEMP%\RarSFX0\python27.dll
- %TEMP%\RarSFX0\jsse.exe
- %TEMP%\RarSFX0\jfxrt.exe
- %TEMP%\RarSFX0\PIL._imagingft.pyd
- %TEMP%\RarSFX0\PIL._imaging.pyd
Сетевая активность:
Подключается к:
- 'jr####.hopto.org':80
TCP:
Запросы HTTP GET:
- jr####.hopto.org/
UDP:
- DNS ASK jr####.hopto.org
Другое:
Ищет следующие окна:
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'WordPadClass' WindowName: ''
