Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'DS_Tray_Spirit' = 'C:\DSOA\DS_Tray_Spirit20140829all.exe'
Вредоносные функции:
Запускает на исполнение:
- 'C:\DSOA\DS_Tray_Spirit20140829all.exe' local
- 'C:\DSOA\MySetTrustZone.exe' local
- '%TEMP%\is-PBPCJ.tmp\is-30IK5.tmp' /SL4 $30092 "<Полный путь к файлу>" 726439 51200
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1809' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1806' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '2000' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1A04' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1802' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1800' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1804' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1803' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '2200' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '2102' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '2300' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '2201' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '2004' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '2001' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '2101' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '2100' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1609' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1209' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1206' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1402' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1400' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1004' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1001' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1201' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1200' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1606' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1604' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1608' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1607' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1406' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1405' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1601' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1407' = '00000000'
Изменения в файловой системе:
Создает следующие файлы:
- C:\DSOA\is-OJF8O.tmp
- C:\DSOA\is-ENFNL.tmp
- C:\DSOA\is-SG3QH.tmp
- C:\DSOA\is-4FGR7.tmp
- C:\DSOA\is-ULH8D.tmp
- C:\DSOA\is-DB7V0.tmp
- C:\DSOA\is-UB4C5.tmp
- C:\DSOA\is-B2923.tmp
- C:\DSOA\url.ini
- C:\DSOA\dsoa.url
- C:\DSOA\DS_Tray_Spirit_Log\2016-10-16_%USERNAME%.log
- C:\DSOA\unins000.dat
- C:\DSOA\is-IHF63.tmp
- C:\DSOA\is-V9HHD.tmp
- C:\DSOA\is-ITNU9.tmp
- C:\DSOA\is-UQKGH.tmp
- C:\DSOA\is-IPQG0.tmp
- C:\DSOA\is-88JVU.tmp
- C:\DSOA\is-T0LNS.tmp
- C:\DSOA\is-2PRI8.tmp
- %TEMP%\is-PBPCJ.tmp\is-30IK5.tmp
- %TEMP%\is-CQM9I.tmp\_isetup\_RegDLL.tmp
- %TEMP%\is-CQM9I.tmp\_isetup\_shfoldr.dll
- C:\DSOA\is-2FHOQ.tmp
- C:\DSOA\is-0TDFB.tmp
- C:\DSOA\is-EJRQL.tmp
- C:\DSOA\is-2L9JD.tmp
- C:\DSOA\is-RUTNB.tmp
- C:\DSOA\is-2S6BP.tmp
- C:\DSOA\is-OSVHS.tmp
- C:\DSOA\is-OO0KJ.tmp
Удаляет следующие файлы:
- %TEMP%\is-CQM9I.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-PBPCJ.tmp\is-30IK5.tmp
- C:\DSOA\unins000.exe
- %TEMP%\is-CQM9I.tmp\_isetup\_RegDLL.tmp
Перемещает следующие файлы:
- C:\DSOA\is-UB4C5.tmp в C:\DSOA\Scancontrol.ini
- C:\DSOA\is-4FGR7.tmp в C:\DSOA\seal.ini
- C:\DSOA\is-DB7V0.tmp в C:\DSOA\MySetTrustZone.exe
- C:\DSOA\is-UQKGH.tmp в C:\DSOA\dsoa.url
- C:\DSOA\is-ULH8D.tmp в C:\DSOA\DS_Tray_Spirit20140829all.exe
- C:\DSOA\is-OJF8O.tmp в C:\DSOA\sy_emptyseal.bmp
- C:\DSOA\is-V9HHD.tmp в C:\DSOA\wdzx97wps.dot
- C:\DSOA\is-ITNU9.tmp в C:\DSOA\webserver.ini
- C:\DSOA\is-IHF63.tmp в C:\DSOA\wdzx97.dot
- C:\DSOA\is-ENFNL.tmp в C:\DSOA\unins000.dat
- C:\DSOA\is-B2923.tmp в C:\DSOA\url.ini
- C:\DSOA\is-2L9JD.tmp в C:\DSOA\dsoa.ico
- C:\DSOA\is-T0LNS.tmp в C:\DSOA\1.jpg
- C:\DSOA\is-2FHOQ.tmp в C:\DSOA\1.wav
- C:\DSOA\is-88JVU.tmp в C:\DSOA\0.wav
- C:\DSOA\is-2PRI8.tmp в C:\DSOA\unins000.exe
- C:\DSOA\is-IPQG0.tmp в C:\DSOA\0.jpg
- C:\DSOA\is-2S6BP.tmp в C:\DSOA\2.jpg
- C:\DSOA\is-0TDFB.tmp в C:\DSOA\dot0.ico
- C:\DSOA\is-EJRQL.tmp в C:\DSOA\dot1.ico
- C:\DSOA\is-RUTNB.tmp в C:\DSOA\3.wav
- C:\DSOA\is-OSVHS.tmp в C:\DSOA\2.wav
- C:\DSOA\is-OO0KJ.tmp в C:\DSOA\3.jpg
Подменяет следующие файлы:
- C:\DSOA\unins000.exe
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
