Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'UserInit' = '<SYSTEM32>\userinit.exe,%ALLUSERSPROFILE%\Favorites\fav.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'fav' = '%ALLUSERSPROFILE%\Favorites\fav.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '<LS_APPDATA>\Spoon\Sandbox\Bombomcu\1.2.0.0\local\stubexe\0xB70ADAB49800AD85\explorer.exe'
- '<LS_APPDATA>\Spoon\Sandbox\Bombomcu\1.2.0.0\local\stubexe\0xA58B6C3A8848DCDA\notepad.exe'
- '<LS_APPDATA>\Spoon\Sandbox\Bombomcu\1.2.0.0\local\stubexe\0x36EE33D85DE58006\iexplore.exe'
- '<LS_APPDATA>\Spoon\Sandbox\Bombomcu\1.2.0.0\local\stubexe\0xCB8C7D075D5A29E7\nop.exe'
- '<LS_APPDATA>\Spoon\Sandbox\Bombomcu\1.2.0.0\local\stubexe\0xCB8C7D075D5A29E7\fav.exe'
Устанавливает процедуры перхвата сообщений
о нажатии клавиш клавиатуры:
- Библиотека-обработчик для процесса 'fav.exe': %ALLUSERSPROFILE%\Favorites\fav.exe
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Favorites\fav.exe
- <LS_APPDATA>\Spoon\Sandbox\Bombomcu\1.2.0.0\xsandbox.bin.__tmp__
Присваивает атрибут 'скрытый' для следующих файлов:
- %ALLUSERSPROFILE%\Favorites\fav.exe
Перемещает следующие файлы:
- <LS_APPDATA>\Spoon\Sandbox\Bombomcu\1.2.0.0\local\stubexe\0x36EE33D85DE58006\iexplore.exe.__tmp__ в <LS_APPDATA>\Spoon\Sandbox\Bombomcu\1.2.0.0\local\stubexe\0x36EE33D85DE58006\iexplore.exe
- <LS_APPDATA>\Spoon\Sandbox\Bombomcu\1.2.0.0\local\stubexe\0xB70ADAB49800AD85\explorer.exe.__tmp__ в <LS_APPDATA>\Spoon\Sandbox\Bombomcu\1.2.0.0\local\stubexe\0xB70ADAB49800AD85\explorer.exe
- <LS_APPDATA>\Spoon\Sandbox\Bombomcu\1.2.0.0\local\stubexe\0xA58B6C3A8848DCDA\notepad.exe.__tmp__ в <LS_APPDATA>\Spoon\Sandbox\Bombomcu\1.2.0.0\local\stubexe\0xA58B6C3A8848DCDA\notepad.exe
- <LS_APPDATA>\Spoon\Sandbox\Bombomcu\1.2.0.0\xsandbox.bin.__tmp__ в <LS_APPDATA>\Spoon\Sandbox\Bombomcu\1.2.0.0\xsandbox.bin
- <LS_APPDATA>\Spoon\Sandbox\Bombomcu\1.2.0.0\local\stubexe\0xCB8C7D075D5A29E7\nop.exe.__tmp__ в <LS_APPDATA>\Spoon\Sandbox\Bombomcu\1.2.0.0\local\stubexe\0xCB8C7D075D5A29E7\nop.exe
- <LS_APPDATA>\Spoon\Sandbox\Bombomcu\1.2.0.0\local\stubexe\0xCB8C7D075D5A29E7\fav.exe.__tmp__ в <LS_APPDATA>\Spoon\Sandbox\Bombomcu\1.2.0.0\local\stubexe\0xCB8C7D075D5A29E7\fav.exe
Сетевая активность:
Подключается к:
- 'bc####.duckdns.org':1604
- 'st###.spoon.net':443
UDP:
- DNS ASK bc####.duckdns.org
- DNS ASK st###.spoon.net
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
