Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%WINDIR%\cygavb.exe'
- '%WINDIR%\chp.exe' %WINDIR%\cygavb.exe
- '%TEMP%\_ir_sf_temp_0\irsetup.exe' __IRAOFF:1741154 "__IRAFN:<Полный путь к вирусу>" "__IRCT:1" "__IRTSS:2273470" "__IRSID:S-1-5-21-2052111302-484763869-725345543-1003"
Запускает на исполнение:
- '<SYSTEM32>\schtasks.exe' /create /xml %TEMP%\WinUpdate /TN Winupdate
- '<SYSTEM32>\ipconfig.exe' /registerdns
- '<SYSTEM32>\sc.exe' create WinGraph binpath= "%WINDIR%\wnavga.exe" type= own start= auto DisplayName= "Windows Graphics Accelerator"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\fix.bat" "
- '<SYSTEM32>\gpupdate.exe' /force
- '<SYSTEM32>\schtasks.exe' /create /xml %TEMP%\inject_executer /TN EssentialUpdateMachine
Принудительно разрешает автозапуск со съемных носителей.
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\GroupPolicy\gpt.ini
- %WINDIR%\initcvtr.bat
- <SYSTEM32>\GroupPolicy\User\comment_user.cmtx
- <SYSTEM32>\GroupPolicy\User\Registry.pol
- %WINDIR%\mstdcvtr.bat
- %ALLUSERSPROFILE%\ntuser.pol
- %HOMEPATH%\ntuser.pol
- %WINDIR%\soxe
- %WINDIR%\plofgye
- <SYSTEM32>\GroupPolicy\Machine\comment_machine.cmtx
- %TEMP%\Registry_user.pol
- %TEMP%\default.cfg
- %TEMP%\fidd.txt
- %TEMP%\Registry_machine.pol
- %TEMP%\jid1-igS4vTG6oupqCA@jetpack.xpi
- %PROGRAM_FILES%\Dealz\Uninstall\IRIMG2.JPG
- <SYSTEM32>\GroupPolicy\Machine\Registry.pol
- %TEMP%\jid1-sXWNoXABeFqKYg@jetpack.xpi
- %PROGRAM_FILES%\Dealz\Uninstall\IRIMG1.JPG
- %WINDIR%\Lists\AllowCookies.txt
- %WINDIR%\Lists\Bypass List.txt
- %WINDIR%\chp.exe
- %WINDIR%\pgbmaf.exe
- %WINDIR%\Lists\Keyword list.txt
- %WINDIR%\Lists\URL Alias List.txt
- %WINDIR%\Lists\URL Killfile.txt
- %WINDIR%\Lists\Kill Images.txt
- %WINDIR%\Lists\MIME Fix List.txt
- %WINDIR%\default.cfg
- %WINDIR%\cfsvc.exe
- <DRIVERS>\winpacket.pac
- %WINDIR%\FiddlerCore4.dll
- %WINDIR%\wnavga.exe
- <DRIVERS>\healusb.sys
- %WINDIR%\cygavb.exe
- <SYSTEM32>\ysxja.exe
- <SYSTEM32>\cygwin.sys
- %WINDIR%\zlib.dll
- %TEMP%\service1.txt
- %TEMP%\chrome.admx
- %TEMP%\WinCert.cer
- %PROGRAM_FILES%\Dealz\Uninstaller.lnk
- %TEMP%\gpt.ini
- %TEMP%\comment_machine.cmtx
- %TEMP%\chrome_us.adml
- %TEMP%\chrome_gb.adml
- %TEMP%\comment_user.cmtx
- %TEMP%\inject_executer
- %PROGRAM_FILES%\Dealz\Uninstall\xtypzt7890
- %TEMP%\_ir_sf_temp_0\irsetup.dat
- %TEMP%\_ir_sf_temp_0\IRIMG1.JPG
- %TEMP%\_ir_sf_temp_0\irsetup.exe
- %TEMP%\_ir_sf_temp_0\lua5.1.dll
- %TEMP%\_ir_sf_temp_0\IRIMG2.JPG
- %PROGRAM_FILES%\Dealz\dll.exe
- %PROGRAM_FILES%\Dealz\lua5.1.dll
- %PROGRAM_FILES%\Dealz\Uninstall\xty1.tmp
- %PROGRAM_FILES%\Dealz\Uninstall\xtypzt7890.dat
- %TEMP%\sch_64.exe
- %TEMP%\winpacket.pac
- %TEMP%\runbat.exe
- %TEMP%\sch_32.exe
- %TEMP%\winpacket_alt.pac
- %TEMP%\fix.bat
- %TEMP%\chp.txt
- %TEMP%\mstdcvtr.txt
- %TEMP%\initcvtr.txt
- %TEMP%\WinUpdate
- %TEMP%\AllowCookies.txt
- %TEMP%\Bypass List.txt
- %TEMP%\zdd.txt
- %TEMP%\inj.txt
- %TEMP%\Keyword list.txt
- %TEMP%\URL Alias List.txt
- %TEMP%\URL Killfile.txt
- %TEMP%\Kill Images.txt
- %TEMP%\MIME Fix List.txt
Удаляет следующие файлы:
- %PROGRAM_FILES%\Dealz\Uninstall\xty1.tmp
- %TEMP%\_ir_sf_temp_0\irsetup.dat
Перемещает следующие файлы:
- %TEMP%\service1.txt в %TEMP%\wnavga.exe
- %TEMP%\zdd.txt в %TEMP%\zlib.dll
- %TEMP%\inj.txt в %TEMP%\cygavb.exe
- %TEMP%\initcvtr.txt в %TEMP%\initcvtr.bat
- %TEMP%\mstdcvtr.txt в %TEMP%\mstdcvtr.bat
- %TEMP%\fidd.txt в %TEMP%\FiddlerCore4.dll
Другое:
Ищет следующие окна:
- ClassName: 'PrxTronCls' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
Изменяет значение AutoConfigURL
