Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\VAULT.hta
Вредоносные функции:
Запускает на исполнение:
- '%ProgramFiles%\Windows NT\Accessories\wordpad.exe' "%TEMP%\282296EA7E.doc"
- '%TEMP%\282296EA7E.exe'
- '<SYSTEM32>\mshta.exe' "%HOMEPATH%\Desktop\VAULT.hta"
- '<SYSTEM32>\cmd.exe' /c echo A25C8A282296EA7E
- '<SYSTEM32>\cmd.exe' /c ren "%TEMP%\A25C8A" unpack.exe
- '%TEMP%\unpack.exe' e "%TEMP%\282296EA7E" -y -p282296EA7E
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKLM>\Software\Microsoft\Internet Account Manager]
- [<HKCU>\Identities\{5518F2FB-DB74-45A3-BEC1-4575D8D9DC84}\Software\Microsoft\Internet Account Manager\Accounts]
- [<HKCU>\Software\Microsoft\Internet Account Manager\Accounts]
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook]
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Microsoft Outlook Internet Settings]
- [<HKCU>\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
- [<HKLM>\Software\RIT\The Bat!\Users depot]
- [<HKCU>\Software\Microsoft\Windows Mail]
- [<HKCU>\Software\Microsoft\Windows Live Mail]
- [<HKCU>\Software\Microsoft\Internet Explorer\IntelliForms\Storage2]
- [<HKLM>\Software\RIT\The Bat!]
- [<HKCU>\Software\RIT\The Bat!\Users depot]
- [<HKCU>\Software\RIT\The Bat!]
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Templates\VAULT.KEY
- %HOMEPATH%\Desktop\VAULT.KEY
- %HOMEPATH%\Templates\CONFIRMATION.KEY
- %APPDATA%\VAULT.KEY
- C:\VAULT.KEY
- C:\VAULT.hta
- %HOMEPATH%\Desktop\VAULT.hta
- %APPDATA%\VAULT.hta
- %HOMEPATH%\Templates\VAULT.hta
- %TEMP%\282296EA7E.exe
- %TEMP%\282296EA7E.doc
- %TEMP%\282296EA7E
- %TEMP%\A25C8A
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\457f5ca9eeb84f67bf71e5f73734b841_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %APPDATA%\userdata.ini
- %APPDATA%\CONFIRMATION.KEY
- <SYSTEM32>\Microsoft\Protect\S-1-5-18\4c8fd513-6f0e-43c1-908d-14e5c2c5b7bd
- <SYSTEM32>\Microsoft\Protect\S-1-5-18\Preferred
Удаляет следующие файлы:
- %APPDATA%\userdata.ini
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\457f5ca9eeb84f67bf71e5f73734b841_23ef5514-3059-436f-a4a7-4cefaab20eb1
Перемещает следующие файлы:
- %TEMP%\282296EA7E.doc в %TEMP%\282296EA7E.doc.vault
- %TEMP%\A25C8A в %TEMP%\unpack.exe
Сетевая активность:
Подключается к:
- 'gr##dom.ru':80
TCP:
Запросы HTTP POST:
- http://gr##dom.ru/api/
UDP:
- DNS ASK gr##dom.ru
Другое:
Ищет следующие окна:
- ClassName: 'Progman' WindowName: ''
- ClassName: 'WordPadClass' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
