Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Update' = '%APPDATA%\svchost.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Update' = '%APPDATA%\svchost.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\svchost.exe'
Запускает на исполнение:
- '%CommonProgramFiles%\Microsoft Shared\DW\DW20.EXE' -x -s 1052
- '%CommonProgramFiles%\Microsoft Shared\DW\DW20.EXE' -x -s 1016
- '%CommonProgramFiles%\Microsoft Shared\DW\DW20.EXE' -x -s 296
- '%CommonProgramFiles%\Microsoft Shared\DW\DW20.EXE' -x -s 1024
- '%APPDATA%\svchost.exe'
- '%ALLUSERSPROFILE%\Application Data\cry.exe'
- '%CommonProgramFiles%\Microsoft Shared\DW\DW20.EXE' -x -s 896
- '%CommonProgramFiles%\Microsoft Shared\DW\DW20.EXE' -x -s 1352
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
следующие пользовательские процессы:
- 360tray.exe
- fsav.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\tmp4.tmp
- %TEMP%\tmp5.tmp
- %TEMP%\tmp2.tmp
- %TEMP%\tmp3.tmp
- %TEMP%\tmp6.tmp
- %TEMP%\dw.log
- %TEMP%\347B8.dmp
- %TEMP%\tmp7.tmp
- %TEMP%\tmp8.tmp
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\A8FABA189DB7D25FBA7CAC806625FD30
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\A8FABA189DB7D25FBA7CAC806625FD30
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\60E31627FDA0A46932B0E5948949F2A5
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\60E31627FDA0A46932B0E5948949F2A5
- %ALLUSERSPROFILE%\Application Data\cry.exe
- %APPDATA%\data.bin
- %TEMP%\tmp1.tmp
- %APPDATA%\svchost.exe
- %APPDATA%\23EF5514-3059-436F-A4A7-4CEFAAB20EB1\run.dat
Удаляет следующие файлы:
- %APPDATA%\data.bin
Сетевая активность:
Подключается к:
- 'bl####ills.ddns.net':1006
- '18#.#14.55.23':1006
- 'cs######4-crl.verisign.com':80
- 'wp#d':80
- 'crl.verisign.com':80
TCP:
Запросы HTTP GET:
- http://CS######4-crl.verisign.com/CSC3-2004.crl via cs######4-crl.verisign.com
- http://crl.verisign.com/pca3.crl
- http://11#.#11.111.1/wpad.dat via wp#d
UDP:
- DNS ASK cs######4-crl.verisign.com
- DNS ASK bl####ills.ddns.net
- DNS ASK wp#d
- DNS ASK crl.verisign.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
