Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\dcmdev32.exe' install .\dcdbas32.inf root\dcdbas
- '%WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\dchcfg32.exe' command=getsupportedsystypes
- '%WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\hapint.exe' -k SPHAPIDA5 -p %WINDIR%\hapint.exe -q
- '%WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\dcmdev32.exe' remove root\dcdbas
Запускает на исполнение:
- '<SYSTEM32>\runonce.exe' -r
- '<SYSTEM32>\cmd.exe' /c ""%WINDIR%\temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapinst.bat" install"
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\TestHapi.exe
- %WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\hapint.exe
- <SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\oem3.CAT
- %WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapinst.bat
- %WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\dcwipm32.dll
- %WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\dciwds32.exe
- %WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\dchipm32.dll
- %WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\dcmdev64.exe
- %WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\dcmdev32.exe
- %WINDIR%\inf\oem3.inf
- %WINDIR%\dchcfg32.exe
- %WINDIR%\dcmdev32.exe
- %WINDIR%\dciwds32.exe
- <SYSTEM32>\dchcfl32.dll
- %WINDIR%\hapint.exe
- <DRIVERS>\SET3.tmp
- %WINDIR%\inf\oem3.PNF
- <SYSTEM32>\dchapi32.dll
- <SYSTEM32>\dchbas32.dll
- %WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\dcdbas64.inf
- %WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\dcdbas64.cat
- %WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\dcdesm32.sys
- %WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\dcdbas64.sys
- %WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\dcdbas32.sys
- %WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\HAPI.zip
- %ALLUSERSPROFILE%\Application Data\Dell\UpdatePackage\Log\<Имя вируса>.txt
- %WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\dcdbas32.inf
- %WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\dcdbas32.cat
- %WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\dcdipm32.sys
- %WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\dchbas32.dll
- %WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\dchapi32.dll
- %WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\dchcfl32.dll
- %WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\dchcfg32.exe
- %WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\dchapi.cer
- %WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\dcdtvm32.sys
- %WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\dcdipm64.sys
- %WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\dcesmwdm.sys
- %WINDIR%\Temp\{D0F0589D-7DBC-42A7-ADBF-D80EE209274D}\hapi\dcesm.sys
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\oem3.CAT
Перемещает следующие файлы:
- <DRIVERS>\SET3.tmp в <DRIVERS>\dcdbas32.sys
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
