Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<Текущая директория>\App\local\stubexe\0x0FFA1733B66D35B2\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES18.tmp" "%TEMP%\CSC17.tmp"
- '<Текущая директория>\App\local\stubexe\0xC9C2C4ED7D068C90\csc.exe' /noconfig /fullpaths @"%TEMP%\r4ivvkea.cmdline"
- '<Текущая директория>\App\local\stubexe\0x3F35C1E7936C2375\prnapp.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\CSC17.tmp
- <Текущая директория>\App\local\stubexe\0xC9C2C4ED7D068C90\csc.exe.__tmp__
- %TEMP%\RES18.tmp
- <Текущая директория>\App\local\stubexe\0x0FFA1733B66D35B2\cvtres.exe.__tmp__
- %TEMP%\r4ivvkea.out
- %TEMP%\Cab15.tmp
- %TEMP%\Cab13.tmp
- %TEMP%\r4ivvkea.cmdline
- %TEMP%\r4ivvkea.0.cs
- %TEMP%\r4ivvkea.dll
- <Текущая директория>\App\local\temp\@APPDATA@\Printer's Apprentice\log\log_startup_readfonts.txt
- <Текущая директория>\App\roaming\modified\@APPDATA@\Printer's Apprentice\log\log_startup.txt
- <Текущая директория>\App\roaming\modified\@APPDATA@\Printer's Apprentice\log\log_startup_readfonts.txt
- <Текущая директория>\App\roaming\meta\@APPDATA@\Printer's Apprentice\log\log_startup_readfonts.txt.__meta__.__tmp__
- <Текущая директория>\App\roaming\meta\@APPDATA@\Printer's Apprentice\log\log_startup.txt.__meta__.__tmp__
- <Текущая директория>\App\roaming\meta\@APPDATA@\Printer's Apprentice\prnapp.exe.config.__meta__.__tmp__
- <Текущая директория>\App\local\temp\@APPDATA@\Printer's Apprentice\prnapp.exe.config
- <Текущая директория>\App\local\temp\@APPDATA@\Printer's Apprentice\log\log_startup.txt
- <Текущая директория>\App\roaming\modified\@APPDATA@\Printer's Apprentice\prnapp.exe.config
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
- %TEMP%\SPOON\CACHE\0xE81C7361DE9808B8\sxs\Manifests\prnapp.exe_0x4d88f34be95e630c5552e4c392d831d3.1.manifest.__tmp__
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
- %TEMP%\SPOON\CACHE\0xE81C7361DE9808B8\sxs\Manifests\PrintersApprenticeSetup.exe_0xcbc0f5808a71671c5fc1918401ff2d82.1.manifest.__tmp__
- <Текущая директория>\App\local\stubexe\0x3F35C1E7936C2375\prnapp.exe.__tmp__
- <Текущая директория>\App\xsandbox.bin.__tmp__
- %TEMP%\SPOON\CACHE\0xE81C7361DE9808B8\sxs\_Printer's Apprentice@1.0.0.0\Printer's Apprentice.manifest.__tmp__
- %TEMP%\SPOON\CACHE\0xE81C7361DE9808B8\sxs\_Printer's Apprentice@1.0.0.0\_Printer's Apprentice@1.0.0.0.manifest.__tmp__
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
- %TEMP%\CabD.tmp
- %TEMP%\CabB.tmp
- %TEMP%\Cab11.tmp
- %TEMP%\CabF.tmp
- %TEMP%\Cab9.tmp
- %TEMP%\Cab3.tmp
- %TEMP%\Cab1.tmp
- %TEMP%\Cab7.tmp
- %TEMP%\Cab5.tmp
Удаляет следующие файлы:
- %TEMP%\RES18.tmp
- %TEMP%\CSC17.tmp
- %TEMP%\Cab13.tmp
- %TEMP%\Cab15.tmp
- %TEMP%\r4ivvkea.0.cs
- %TEMP%\r4ivvkea.cmdline
- %TEMP%\r4ivvkea.out
- %TEMP%\r4ivvkea.dll
- %TEMP%\Cab11.tmp
- %TEMP%\Cab5.tmp
- %TEMP%\Cab7.tmp
- %TEMP%\Cab1.tmp
- %TEMP%\Cab3.tmp
- %TEMP%\CabD.tmp
- %TEMP%\CabF.tmp
- %TEMP%\Cab9.tmp
- %TEMP%\CabB.tmp
Перемещает следующие файлы:
- <Текущая директория>\App\roaming\meta\@APPDATA@\Printer's Apprentice\prnapp.exe.config.__meta__.__tmp__ в <Текущая директория>\App\roaming\meta\@APPDATA@\Printer's Apprentice\prnapp.exe.config.__meta__
- <Текущая директория>\App\local\temp\@APPDATA@\Printer's Apprentice\prnapp.exe.config в <Текущая директория>\App\roaming\modified\@APPDATA@\Printer's Apprentice\prnapp.exe.config
- <Текущая директория>\App\local\stubexe\0x0FFA1733B66D35B2\cvtres.exe.__tmp__ в <Текущая директория>\App\local\stubexe\0x0FFA1733B66D35B2\cvtres.exe
- <Текущая директория>\App\local\temp\@APPDATA@\Printer's Apprentice\log\log_startup.txt в <Текущая директория>\App\roaming\modified\@APPDATA@\Printer's Apprentice\log\log_startup.txt
- <Текущая директория>\App\roaming\meta\@APPDATA@\Printer's Apprentice\log\log_startup_readfonts.txt.__meta__.__tmp__ в <Текущая директория>\App\roaming\meta\@APPDATA@\Printer's Apprentice\log\log_startup_readfonts.txt.__meta__
- <Текущая директория>\App\local\temp\@APPDATA@\Printer's Apprentice\log\log_startup_readfonts.txt в <Текущая директория>\App\roaming\modified\@APPDATA@\Printer's Apprentice\log\log_startup_readfonts.txt
- <Текущая директория>\App\roaming\meta\@APPDATA@\Printer's Apprentice\log\log_startup.txt.__meta__.__tmp__ в <Текущая директория>\App\roaming\meta\@APPDATA@\Printer's Apprentice\log\log_startup.txt.__meta__
- %TEMP%\SPOON\CACHE\0xE81C7361DE9808B8\sxs\_Printer's Apprentice@1.0.0.0\_Printer's Apprentice@1.0.0.0.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0xE81C7361DE9808B8\sxs\_Printer's Apprentice@1.0.0.0\_Printer's Apprentice@1.0.0.0.manifest
- <Текущая директория>\App\local\stubexe\0x3F35C1E7936C2375\prnapp.exe.__tmp__ в <Текущая директория>\App\local\stubexe\0x3F35C1E7936C2375\prnapp.exe
- <Текущая директория>\App\xsandbox.bin.__tmp__ в <Текущая директория>\App\xsandbox.bin
- %TEMP%\SPOON\CACHE\0xE81C7361DE9808B8\sxs\_Printer's Apprentice@1.0.0.0\Printer's Apprentice.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0xE81C7361DE9808B8\sxs\_Printer's Apprentice@1.0.0.0\Printer's Apprentice.manifest
- <Текущая директория>\App\local\stubexe\0xC9C2C4ED7D068C90\csc.exe.__tmp__ в <Текущая директория>\App\local\stubexe\0xC9C2C4ED7D068C90\csc.exe
- %TEMP%\SPOON\CACHE\0xE81C7361DE9808B8\sxs\Manifests\prnapp.exe_0x4d88f34be95e630c5552e4c392d831d3.1.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0xE81C7361DE9808B8\sxs\Manifests\prnapp.exe_0x4d88f34be95e630c5552e4c392d831d3.1.manifest
- %TEMP%\SPOON\CACHE\0xE81C7361DE9808B8\sxs\Manifests\PrintersApprenticeSetup.exe_0xcbc0f5808a71671c5fc1918401ff2d82.1.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0xE81C7361DE9808B8\sxs\Manifests\PrintersApprenticeSetup.exe_0xcbc0f5808a71671c5fc1918401ff2d82.1.manifest
Сетевая активность:
Подключается к:
- 'cr#.##modoca.com':80
- '74.##5.232.51':80
- 'www.download.windowsupdate.com':80
- 'st###.spoon.net':443
- 'wp#d':80
TCP:
Запросы HTTP GET:
- http://cr#.##modoca.com/COMODORSAAddTrustCA.crt
- http://cr#.##modoca.com/COMODORSACodeSigningCA.crt
- http://www.google.com/ via 74.##5.232.51
- http://11#.#11.111.2/wpad.dat via wp#d
- http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
- http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
UDP:
- DNS ASK cr#.##modoca.com
- DNS ASK www.google.com
- DNS ASK www.download.windowsupdate.com
- DNS ASK st###.spoon.net
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
