Техническая информация
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] '%TEMP%\csgrc\vncviewer.exe' = '%TEMP%\csgrc\vncviewer.exe:*:Enabled:CSGRC-Viewer'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\csgrc\vncviewer.exe' = '%TEMP%\csgrc\vncviewer.exe:*:Enabled:CSGRC-Viewer'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] '%TEMP%\csgrc\winvnc.exe' = '%TEMP%\csgrc\winvnc.exe:*:Enabled:CSGRC-Server'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\csgrc\winvnc.exe' = '%TEMP%\csgrc\winvnc.exe:*:Enabled:CSGRC-Server'
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram program="%TEMP%\csgrc\vncviewer.exe" profile="all" name="CSGRC-Viewer" mode="enable"
- '<SYSTEM32>\net.exe' stop themes
- '<SYSTEM32>\net1.exe' stop themes
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="CSGRC-Server" description="Allows users to invite the CLAS Computer Support Group into their computers for remote support." dir="in" profile="any" program="%TEMP%\csgrc\winvnc.exe" enable="yes" action="allow"
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram program="%TEMP%\csgrc\winvnc.exe" profile="all" name="CSGRC-Server" mode="enable"
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="CSGRC-Viewer" description="Allows users to invite the CLAS Computer Support Group into their computers for remote support." dir="in" profile="any" program="%TEMP%\csgrc\vncviewer.exe" enable="yes" action="allow"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\csgrc\csgrc.ini
- %TEMP%\aut6.tmp
- %TEMP%\csgrc\tskill.exe
- %TEMP%\aut5.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\csgrc-connections[1].ini
- %TEMP%\csgrc\csgrc-connections.ini
- %TEMP%\csgrc\none.jpg
- %TEMP%\aut7.tmp
- %TEMP%\csgrc\vncviewer.exe
- %TEMP%\aut2.tmp
- <SYSTEM32>\LogFiles\CSG\csgrc.log
- %TEMP%\aut1.tmp
- %TEMP%\csgrc\ultravnc.ini
- %TEMP%\aut4.tmp
- %TEMP%\csgrc\winvnc.exe
- %TEMP%\aut3.tmp
Удаляет следующие файлы:
- %TEMP%\aut5.tmp
- %TEMP%\aut6.tmp
- %TEMP%\aut7.tmp
- %TEMP%\aut4.tmp
- %TEMP%\aut1.tmp
- %TEMP%\aut2.tmp
- %TEMP%\aut3.tmp
Сетевая активность:
Подключается к:
- 'up#####.clas.uconn.edu':80
TCP:
Запросы HTTP GET:
- up#####.clas.uconn.edu/csgrc/csgrc-connections.ini
UDP:
- DNS ASK up#####.clas.uconn.edu
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
