Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'wextract_cleanup0' = 'rundll32.exe <SYSTEM32>\advpack.dll,DelNodeRunDLL32 "%TEMP%\IXP000.TMP\"'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\IXP000.TMP\certutil.exe' -importpfx -p 123 rdfarm.pfx
- '%TEMP%\IXP000.TMP\ipfx.exe' -f rdfarm.pfx -p 123 -t User -s My
- '%TEMP%\IXP000.TMP\CertMgr.Exe' -add -c root-ca.cer -s -r localMachine Root
- '%TEMP%\IXP000.TMP\CertMgr.Exe' -add -c ca.cer -s -r localMachine CA
Запускает на исполнение:
- '<SYSTEM32>\wscript.exe' deploy.vbs
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
- %APPDATA%\Microsoft\SystemCertificates\My\Certificates\319E66DD2C66C8CB528DFE441F644EBA50BDDB10
- %APPDATA%\Microsoft\SystemCertificates\My\Certificates\3CE73857BCFF9CBA69934A13761C2BABD5397575
- %APPDATA%\Microsoft\SystemCertificates\My\Keys\467634D726672C4E162CE200614302F1922F11B5
- %TEMP%\Cab1.tmp
- %TEMP%\CabB.tmp
- %TEMP%\CabD.tmp
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\2ee818f400a6dd5978a994c9c634afc1_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %TEMP%\Cab9.tmp
- %TEMP%\Cab3.tmp
- %TEMP%\Cab5.tmp
- %TEMP%\Cab7.tmp
- <SYSTEM32>\Microsoft\Protect\S-1-5-18\Preferred
- %TEMP%\IXP000.TMP\deploy.vbs
- %TEMP%\IXP000.TMP\ipfx.exe
- %TEMP%\IXP000.TMP\rdfarm.pfx
- %TEMP%\IXP000.TMP\certutil.exe
- %TEMP%\IXP000.TMP\ca.cer
- %TEMP%\IXP000.TMP\certadm.dll
- %TEMP%\IXP000.TMP\CertMgr.Exe
- %TEMP%\IXP000.TMP\rdpfile.rdp
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\cae8af3996f5cd3a644d9abe4e72469c_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\b33e0245b276bf7be1d8779f0a774850_23ef5514-3059-436f-a4a7-4cefaab20eb1
- <SYSTEM32>\Microsoft\Protect\S-1-5-18\0f2d1bce-c06c-4ef1-a462-20d7e8772a3c
- %TEMP%\IXP000.TMP\root-ca.cer
- %HOMEPATH%\Desktop\rdpfile.rdp
- %WINDIR%\certutil.log
Удаляет следующие файлы:
- %TEMP%\CabB.tmp
- %TEMP%\Cab9.tmp
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\b33e0245b276bf7be1d8779f0a774850_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %TEMP%\CabD.tmp
- %TEMP%\Cab3.tmp
- %TEMP%\Cab1.tmp
- %TEMP%\Cab7.tmp
- %TEMP%\Cab5.tmp
Перемещает следующие файлы:
- %HOMEPATH%\Desktop\rdpfile.rdp в %HOMEPATH%\Desktop\КАСКАД Сервер терминалов.rdp
Сетевая активность:
Подключается к:
- 'www.download.windowsupdate.com':80
- 'wp#d':80
TCP:
Запросы HTTP GET:
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
- wp#d/wpad.dat
UDP:
- DNS ASK www.download.windowsupdate.com
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
Добавляет корневой сертификат
