Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\NCRPerfmonService] 'Start' = '00000002'
Изменяет следующие исполняемые системные файлы:
- <SYSTEM32>\sc.exe
- <SYSTEM32>\logman.exe
- <SYSTEM32>\find.exe
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\dllcache\sc.exe файлом <SYSTEM32>\dllcache\sc.exe.new
- <SYSTEM32>\dllcache\logman.exe файлом <SYSTEM32>\dllcache\logman.exe.new
- <SYSTEM32>\dllcache\find.exe файлом <SYSTEM32>\dllcache\find.exe.new
Заражает следующие исполняемые файлы:
- <SYSTEM32>\dllcache\find.exe.new
- <SYSTEM32>\dllcache\logman.exe.new
- <SYSTEM32>\dllcache\sc.exe.new
- <SYSTEM32>\find.exe
- <SYSTEM32>\logman.exe
- <SYSTEM32>\sc.exe
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\scot\bin\NCRPerfmonService.exe' /Service
- 'C:\scot\bin\NCRPerfmonService.exe'
- 'C:\scot\bin\Ini2Reg.exe' /os /f C:\scot\bin\config.ini
- '%TEMP%\_ir_sf7_temp_0\SendSCOTU.exe' -FilePermissions scot C:\Perflogs grant all
- '%TEMP%\_ir_sf7_temp_0\irsetup.exe' "__IRAFN:<Полный путь к вирусу>"
- '%TEMP%\_ir_sf7_temp_0\SendSCOTU.exe' -FilePermissions scot C:\scot\bin\ncrlogman.bat deny all
- '%TEMP%\_ir_sf7_temp_0\SendSCOTU.exe' -FilePermissions scot C:\scot\bin\ncrlogman.bat grant read
Запускает на исполнение:
- '<SYSTEM32>\logman.exe' create counter ncr -y
- '%WINDIR%\sleep.exe' 10
- '<SYSTEM32>\logman.exe' stop ncr
- '<SYSTEM32>\logman.exe' start ncr -y
- '<SYSTEM32>\logman.exe' update ncr -y -f bincirc --v -max 3MB -o c:\PerfLogs\ncr.blg
- '<SYSTEM32>\logman.exe' update ncr -y -si 00:15 -cf C:\scot\config\NCRPerfmon.txt
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\_ir_sf7_temp_0\CloseLogs.bat" TempHistory.log TempTrace.log"
- '<SYSTEM32>\sc.exe' config Sysmonlog obj= ".\LocalSystem" password= ""
- '%WINDIR%\regedit.exe' /s %TEMP%\_ir_sf7_temp_0\NCRPerfmonService.reg
- '<SYSTEM32>\logman.exe' query ncr
- '<SYSTEM32>\smlogsvc.exe'
- '<SYSTEM32>\sc.exe' start SysmonLog
Изменения в файловой системе:
Создает следующие файлы:
- C:\scot\bin\SendSCOT.exe
- C:\scot\bin\NCRPerfmonService.exe
- C:\scot\dll\NCRPerfmonServiceMsg.dll
- C:\scot\bin\SendSCOTU.exe
- C:\scot\bin\Ini2RegU.exe
- C:\scot\bin\Ini2Reg.exe
- C:\scot\bin\NCRPerfmonCmd.exe
- C:\scot\bin\ncrlogman.bat
- C:\scot\install\InstallTrace.log
- C:\scot\install\InstallHistory.log
- C:\PerfLogs\ncr.blg
- C:\scot\logs\ncrlogman.log
- <SYSTEM32>\suf2.tmp
- <SYSTEM32>\suf1.tmp
- C:\scot\config\NCRPerfmon.txt
- <SYSTEM32>\suf3.tmp
- %TEMP%\_ir_sf7_temp_0\null.sys
- %TEMP%\_ir_sf7_temp_0\CloseLogs.bat
- %TEMP%\_ir_sf7_temp_0\stopAllFastLaneApps.bat
- %TEMP%\_ir_sf7_temp_0\nulldevice.reg
- %TEMP%\_ir_sf7_temp_0\irsetup.dat
- %TEMP%\_ir_sf7_temp_0\irsetup.exe
- %TEMP%\_ir_sf7_temp_0\SendSCOTU.exe
- %TEMP%\_ir_sf7_temp_0\IRIMG1.BMP
- C:\scot\bin\misc\ncrlogman.bat
- C:\scot\install\TempTrace.log
- C:\scot\bin\misc\NCRPerfmonService.exe
- C:\scot\bin\misc\NCRPerfmonCmd.exe
- %TEMP%\_ir_sf7_temp_0\NCRSetup.dll
- %TEMP%\_ir_sf7_temp_0\NCRPerfmonService.reg
- C:\scot\install\TempHistory.log
- C:\scot\install\HF1008_NCRLogman_v3.0_Install.log
Удаляет следующие файлы:
- %TEMP%\_ir_sf7_temp_0\nulldevice.reg
- %TEMP%\_ir_sf7_temp_0\null.sys
- %TEMP%\_ir_sf7_temp_0\CloseLogs.bat
- %TEMP%\_ir_sf7_temp_0\stopAllFastLaneApps.bat
- %TEMP%\_ir_sf7_temp_0\irsetup.exe
- %TEMP%\_ir_sf7_temp_0\NCRSetup.dll
- %TEMP%\_ir_sf7_temp_0\NCRPerfmonService.reg
- %TEMP%\_ir_sf7_temp_0\SendSCOTU.exe
- <SYSTEM32>\suf2.tmp
- <SYSTEM32>\suf1.tmp
- %TEMP%\_ir_sf7_temp_0\irsetup.dat
- <SYSTEM32>\suf3.tmp
- %TEMP%\_ir_sf7_temp_0\IRIMG1.BMP
- C:\scot\install\TempTrace.log
- C:\scot\install\TempHistory.log
Другое:
Ищет следующие окна:
- ClassName: 'MS_WINHELP' WindowName: '(null)'
- ClassName: 'RegEdit_RegEdit' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
