Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\SafeIsoDrv] 'Start' = '00000001'
- [<HKLM>\SYSTEM\ControlSet001\Services\SafeIsoMon] 'Start' = '00000001'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\Safe$Extract\SafeBrowser.exe' "%TEMP%\Safe$Extract\20130405_201440.ise"
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\Safe$Extract\officeviewer.ocx
- %TEMP%\Safe$Extract\safebrowser.chm
- %TEMP%\Safe$Extract\OfficeViewer.dll
- %TEMP%\Safe$Extract\browser.ini
- %TEMP%\Safe$Extract\HookDrag.dll
- %TEMP%\Safe$Extract\SafeBrowser.exe
- <DRIVERS>\SafeIsoMon.sys
- <DRIVERS>\SafeIsoDrv.sys
- %TEMP%\Safe$Extract\swflash.ocx
- %TEMP%\Safe$Extract\SafeIso.dll
- %TEMP%\Safe$Extract\safemsg.dll
- %TEMP%\Safe$Extract\20130405_201440.ise
- %TEMP%\Safe$Extract\Temp\safemsg.dll
- %TEMP%\Safe$Extract\Temp\browser.ini
- %TEMP%\Safe$Extract\Temp\SafeIso.dll
- %TEMP%\Safe$Extract\Temp\SafeBrowser.exe
- %TEMP%\Safe$Extract\Temp\safebrowser.chm
- %TEMP%\Safe$Extract\Temp\swflash.ocx
- %TEMP%\Safe$Extract\Temp\20130405_201440.ise
- %TEMP%\Safe$Extract\Temp\HookDrag.dll
- %TEMP%\Safe$Extract\Temp\OfficeViewer.dll
- %TEMP%\Safe$Extract\Temp\officeviewer.ocx
Удаляет следующие файлы:
- %TEMP%\Safe$Extract\Temp\safemsg.dll
- %TEMP%\Safe$Extract\Temp\SafeIso.dll
- %TEMP%\Safe$Extract\Temp\SafeBrowser.exe
- <DRIVERS>\SafeIsoDrv.sys
- <DRIVERS>\SafeIsoMon.sys
- %TEMP%\Safe$Extract\Temp\swflash.ocx
- %TEMP%\Safe$Extract\Temp\safebrowser.chm
- %TEMP%\Safe$Extract\Temp\browser.ini
- %TEMP%\Safe$Extract\Temp\20130405_201440.ise
- %TEMP%\Safe$Extract\Temp\SelfExtract.cab
- %TEMP%\Safe$Extract\Temp\officeviewer.ocx
- %TEMP%\Safe$Extract\Temp\OfficeViewer.dll
- %TEMP%\Safe$Extract\Temp\HookDrag.dll
Сетевая активность:
Подключается к:
- '12#.6.15.29':37
- '12#.6.15.28':37
- '13#.100.9.2':37
- '20#.#84.49.129':37
- '13#.#07.1.10':37
- '19#.#3.244.18':37
- '13#.#63.4.101':37
- '12#.#25.114.144':80
- '13#.#63.4.102':37
- '12#.#38.140.44':37
- '13#.#63.4.103':37
UDP:
- DNS ASK www.ba##u.com
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: '??????'
- ClassName: '(null)' WindowName: '??????????'
- ClassName: '(null)' WindowName: '??????????????'
- ClassName: '(null)' WindowName: '????????'
- ClassName: '(null)' WindowName: '????Adobe PDF ????'
- ClassName: '(null)' WindowName: '???? Adobe PDF ????'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'PP11FrameClass' WindowName: '(null)'
- ClassName: 'XLMAIN' WindowName: '(null)'
- ClassName: 'OpusApp' WindowName: '(null)'
Добавляет корневой сертификат
