Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'UserInit' = '<SYSTEM32>\userinit.exe,%HOMEPATH%\My Documents\MSDCSC\msdcsc.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MicroUpdate' = '%HOMEPATH%\My Documents\MSDCSC\msdcsc.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\USB Disk Security.lnk
Вредоносные функции:
Создает и запускает на исполнение:
- '<LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0xCD8209BA2EAD489D\USB Disk Security.exe'
- '<LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0x3B6F16888C6E7F2B\msdcsc.exe'
- '<LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0x620337013E8AAEC5\USBGuard.exe'
- '<LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0x0F1100075EF7CF3B\installtips.exe'
- '<LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0x03599160E51862B3\Autorun.exe'
- '<LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0xAA8F91D3589D90A9\USB Disk Security.exe'
- '<LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0x3B6F16888C6E7F2B\pc.exe'
- '<LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0xAA8F91D3589D90A9\Setup1.exe'
Устанавливает процедуры перхвата сообщений
о нажатии клавиш клавиатуры:
- Библиотека-обработчик для процесса 'msdcsc.exe': %HOMEPATH%\My Documents\MSDCSC\msdcsc.exe
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\USB Disk Security\msvcp80.dll
- %PROGRAM_FILES%\USB Disk Security\mfc80u.dll
- %PROGRAM_FILES%\USB Disk Security\msvcr80.dll
- %PROGRAM_FILES%\USB Disk Security\USBGuardUpdate.dat
- %PROGRAM_FILES%\USB Disk Security\unins000.dat
- %PROGRAM_FILES%\USB Disk Security\USBGuard.exe
- %PROGRAM_FILES%\USB Disk Security\unins000.exe
- %PROGRAM_FILES%\USB Disk Security\USBGuardUpdate.exe
- %PROGRAM_FILES%\USB Disk Security\BCGPStyle2010Blue150.dll
- %PROGRAM_FILES%\USB Disk Security\BCGCBPRO1500u80.dll
- %PROGRAM_FILES%\USB Disk Security\USBGuard.chm
- %PROGRAM_FILES%\USB Disk Security\Microsoft.VC80.MFC.manifest
- %HOMEPATH%\Desktop\USB Disk Security.lnk
- <LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0x620337013E8AAEC5\USBGuard.exe.__tmp__
- %HOMEPATH%\Start Menu\Programs\USB Disk Security\USB Disk Security.lnk
- %PROGRAM_FILES%\USB Disk Security\log1.dmb
- %PROGRAM_FILES%\USB Disk Security\log.dmb
- %PROGRAM_FILES%\USB Disk Security\log2.dmb
- %PROGRAM_FILES%\USB Disk Security\Microsoft.VC80.CRT.manifest
- %PROGRAM_FILES%\USB Disk Security\log3.dmb
- %PROGRAM_FILES%\USB Disk Security\version.ini
- %TEMP%\RarSFX0\Setup1.exe
- %TEMP%\RarSFX0\Autorun.exe
- <LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0x03599160E51862B3\Autorun.exe.__tmp__
- %TEMP%\RarSFX1\pc.exe
- <LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0xAA8F91D3589D90A9\Setup1.exe.__tmp__
- <LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0xAA8F91D3589D90A9\USB Disk Security.exe.__tmp__
- <LS_APPDATA>\Spoon\Sandbox\1.0.0.0\xsandbox.bin.__tmp__
- %TEMP%\SPOON\CACHE\0xCCEAABC6F074FB30\sxs\_WinRAR SFX@1.0.0.0\_WinRAR SFX@1.0.0.0.manifest.__tmp__
- %TEMP%\SPOON\CACHE\0xCCEAABC6F074FB30\sxs\Manifests\USB Disk Security.exe_0x1180f0b77079c11a42ccd34cdabd53f6.1.manifest.__tmp__
- %TEMP%\SPOON\CACHE\0xCCEAABC6F074FB30\sxs\_WinRAR SFX@1.0.0.0\WinRAR SFX.manifest.__tmp__
- %TEMP%\7ZipSfx.000\installtips.exe
- %TEMP%\7ZipSfx.000\InstallTips.ini
- %TEMP%\7ZipSfx.000\USB Disk Security.exe
- %PROGRAM_FILES%\USB Disk Security\USB Disk Security Update Log.txt
- <LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0x0F1100075EF7CF3B\installtips.exe.__tmp__
- <LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0x3B6F16888C6E7F2B\pc.exe.__tmp__
- %TEMP%\RarSFX1\USB Disk Security.exe
- %HOMEPATH%\My Documents\MSDCSC\msdcsc.exe
- <LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0xCD8209BA2EAD489D\USB Disk Security.exe.__tmp__
- <LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0x3B6F16888C6E7F2B\msdcsc.exe.__tmp__
Удаляет следующие файлы:
- %TEMP%\RarSFX0\Setup1.exe
- %TEMP%\RarSFX0\Autorun.exe
Перемещает следующие файлы:
- <LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0x3B6F16888C6E7F2B\msdcsc.exe.__tmp__ в <LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0x3B6F16888C6E7F2B\msdcsc.exe
- <LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0x3B6F16888C6E7F2B\pc.exe.__tmp__ в <LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0x3B6F16888C6E7F2B\pc.exe
- <LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0xAA8F91D3589D90A9\Setup1.exe.__tmp__ в <LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0xAA8F91D3589D90A9\Setup1.exe
- <LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0x620337013E8AAEC5\USBGuard.exe.__tmp__ в <LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0x620337013E8AAEC5\USBGuard.exe
- <LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0x0F1100075EF7CF3B\installtips.exe.__tmp__ в <LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0x0F1100075EF7CF3B\installtips.exe
- <LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0xCD8209BA2EAD489D\USB Disk Security.exe.__tmp__ в <LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0xCD8209BA2EAD489D\USB Disk Security.exe
- %TEMP%\SPOON\CACHE\0xCCEAABC6F074FB30\sxs\_WinRAR SFX@1.0.0.0\_WinRAR SFX@1.0.0.0.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0xCCEAABC6F074FB30\sxs\_WinRAR SFX@1.0.0.0\_WinRAR SFX@1.0.0.0.manifest
- <LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0xAA8F91D3589D90A9\USB Disk Security.exe.__tmp__ в <LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0xAA8F91D3589D90A9\USB Disk Security.exe
- <LS_APPDATA>\Spoon\Sandbox\1.0.0.0\xsandbox.bin.__tmp__ в <LS_APPDATA>\Spoon\Sandbox\1.0.0.0\xsandbox.bin
- <LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0x03599160E51862B3\Autorun.exe.__tmp__ в <LS_APPDATA>\Spoon\Sandbox\1.0.0.0\local\stubexe\0x03599160E51862B3\Autorun.exe
- %TEMP%\SPOON\CACHE\0xCCEAABC6F074FB30\sxs\Manifests\USB Disk Security.exe_0x1180f0b77079c11a42ccd34cdabd53f6.1.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0xCCEAABC6F074FB30\sxs\Manifests\USB Disk Security.exe_0x1180f0b77079c11a42ccd34cdabd53f6.1.manifest
- %TEMP%\SPOON\CACHE\0xCCEAABC6F074FB30\sxs\_WinRAR SFX@1.0.0.0\WinRAR SFX.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0xCCEAABC6F074FB30\sxs\_WinRAR SFX@1.0.0.0\WinRAR SFX.manifest
Сетевая активность:
Подключается к:
- '<IP-адрес в локальной сети>':1117
- 'st###.spoon.net':443
UDP:
- DNS ASK st###.spoon.net
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
