Technical Information
To ensure autorun and distribution:
Creates or modifies the following files:
- %HOMEPATH%\Start Menu\Programs\Startup\Java Update.lnk
Malicious functions:
Executes the following:
- '<SYSTEM32>\schtasks.exe' /Delete /TN "Java_Update" /F
- '%APPDATA%\Jre7.1\Jre7.1\Java.exe'
- '<SYSTEM32>\cmd.exe' /c SCHTASKS /Delete /TN "Java_Update" /F
- '%APPDATA%\java\System.exe'
- '%TEMP%\RarSFX0\javaT.exe'
Modifies file system:
Creates the following files:
- %APPDATA%\Jre7.1\Jre7.1\_win32sysloader.pyd
- %APPDATA%\JDes\bz2.pyd
- %APPDATA%\Jre7.1\Jre7.1\_ssl.pyd
- %APPDATA%\Jre7.1\Jre7.1\_hashlib.pyd
- %APPDATA%\Jre7.1\Jre7.1\_socket.pyd
- %APPDATA%\JDes\Java.exe
- %APPDATA%\JDes\javaT.exe
- %APPDATA%\JDes\PIL._imaging.pyd
- %APPDATA%\JDes\javak.exe
- %APPDATA%\JDes\javaDl.exe
- %APPDATA%\JDes\Javadr.exe
- %APPDATA%\Jre7.1\Jre7.1\win32clipboard.pyd
- %APPDATA%\Jre7.1\Jre7.1\win32file.pyd
- %APPDATA%\Jre7.1\Jre7.1\win32api.pyd
- %APPDATA%\Jre7.1\Jre7.1\unicodedata.pyd
- %APPDATA%\Jre7.1\Jre7.1\w9xpopen.exe
- %APPDATA%\Jre7.1\Jre7.1\win32gui.pyd
- %APPDATA%\Jre7.1\Jre7.1\win32wnet.pyd
- %APPDATA%\Jre7.1\Jre7.1\_ctypes.pyd
- %APPDATA%\Jre7.1\Jre7.1\win32ui.pyd
- %APPDATA%\Jre7.1\Jre7.1\win32pdh.pyd
- %APPDATA%\Jre7.1\Jre7.1\win32pipe.pyd
- %APPDATA%\JDes\pyexpat.pyd
- %APPDATA%\JDes\win32ui.pyd
- %APPDATA%\JDes\win32wnet.pyd
- %APPDATA%\JDes\win32pipe.pyd
- %APPDATA%\JDes\win32gui.pyd
- %APPDATA%\JDes\win32pdh.pyd
- %APPDATA%\JDes\_ctypes.pyd
- %APPDATA%\JDes\_win32sysloader.pyd
- %APPDATA%\Jre7.1\Logs.htm
- %APPDATA%\JDes\_ssl.pyd
- %APPDATA%\JDes\_hashlib.pyd
- %APPDATA%\JDes\_socket.pyd
- %APPDATA%\JDes\pywintypes27.dll
- %APPDATA%\JDes\select.pyd
- %APPDATA%\JDes\pythoncom27.dll
- %APPDATA%\JDes\pyHook._cpyHook.pyd
- %APPDATA%\JDes\python27.dll
- %APPDATA%\JDes\trusted-certs.crt
- %APPDATA%\JDes\win32clipboard.pyd
- %APPDATA%\JDes\win32file.pyd
- %APPDATA%\JDes\win32api.pyd
- %APPDATA%\JDes\unicodedata.pyd
- %APPDATA%\JDes\w9xpopen.exe
- %TEMP%\RarSFX0\_socket.pyd
- %TEMP%\RarSFX0\_ssl.pyd
- %TEMP%\RarSFX0\_hashlib.pyd
- %TEMP%\RarSFX0\trusted-certs.crt
- %TEMP%\RarSFX0\_ctypes.pyd
- %TEMP%\RarSFX0\_win32sysloader.pyd
- %TEMP%\RarSFX0\pyHook._cpyHook.pyd
- %TEMP%\RarSFX0\select.pyd
- %TEMP%\RarSFX0\pyexpat.pyd
- %TEMP%\RarSFX0\bz2.pyd
- %TEMP%\RarSFX0\PIL._imaging.pyd
- %TEMP%\RarSFX0\javaDl.exe
- %TEMP%\RarSFX0\Javadr.exe
- %TEMP%\RarSFX0\Java.exe
- %APPDATA%\java\NOTA_020_NY_Coordinadores_Nacionales.pdf
- %APPDATA%\java\System.exe
- %TEMP%\RarSFX0\javak.exe
- %TEMP%\RarSFX0\pythoncom27.dll
- %TEMP%\RarSFX0\pywintypes27.dll
- %TEMP%\RarSFX0\python27.dll
- %TEMP%\RarSFX0\javaT.exe
- %TEMP%\RarSFX0\w9xpopen.exe
- %TEMP%\RarSFX0\unicodedata.pyd
- %APPDATA%\Jre7.1\Jre7.1\PIL._imaging.pyd
- %APPDATA%\Jre7.1\Jre7.1\pyexpat.pyd
- %APPDATA%\Jre7.1\Jre7.1\javaT.exe
- %APPDATA%\Jre7.1\Jre7.1\Javadr.exe
- %APPDATA%\Jre7.1\Jre7.1\javak.exe
- %APPDATA%\Jre7.1\Jre7.1\pyHook._cpyHook.pyd
- %APPDATA%\Jre7.1\Jre7.1\select.pyd
- %APPDATA%\Jre7.1\Jre7.1\trusted-certs.crt
- %APPDATA%\Jre7.1\Jre7.1\pywintypes27.dll
- %APPDATA%\Jre7.1\Jre7.1\python27.dll
- %APPDATA%\Jre7.1\Jre7.1\pythoncom27.dll
- %TEMP%\RarSFX0\win32gui.pyd
- %TEMP%\RarSFX0\win32pdh.pyd
- %TEMP%\RarSFX0\win32file.pyd
- %TEMP%\RarSFX0\win32api.pyd
- %TEMP%\RarSFX0\win32clipboard.pyd
- %TEMP%\RarSFX0\win32pipe.pyd
- %APPDATA%\Jre7.1\Jre7.1\Java.exe
- %APPDATA%\Jre7.1\Jre7.1\javaDl.exe
- %APPDATA%\Jre7.1\Jre7.1\bz2.pyd
- %TEMP%\RarSFX0\win32ui.pyd
- %TEMP%\RarSFX0\win32wnet.pyd
Deletes the following files:
- %TEMP%\RarSFX0\win32gui.pyd
- %TEMP%\RarSFX0\win32pdh.pyd
- %TEMP%\RarSFX0\win32pipe.pyd
- %TEMP%\RarSFX0\win32file.pyd
- %TEMP%\RarSFX0\w9xpopen.exe
- %TEMP%\RarSFX0\win32api.pyd
- %TEMP%\RarSFX0\win32clipboard.pyd
- %TEMP%\RarSFX0\_socket.pyd
- %TEMP%\RarSFX0\_ssl.pyd
- %TEMP%\RarSFX0\_win32sysloader.pyd
- %TEMP%\RarSFX0\_hashlib.pyd
- %TEMP%\RarSFX0\win32ui.pyd
- %TEMP%\RarSFX0\win32wnet.pyd
- %TEMP%\RarSFX0\_ctypes.pyd
- %TEMP%\RarSFX0\unicodedata.pyd
- %TEMP%\RarSFX0\javak.exe
- %TEMP%\RarSFX0\javaT.exe
- %TEMP%\RarSFX0\PIL._imaging.pyd
- %TEMP%\RarSFX0\Javadr.exe
- %TEMP%\RarSFX0\bz2.pyd
- %TEMP%\RarSFX0\Java.exe
- %TEMP%\RarSFX0\javaDl.exe
- %TEMP%\RarSFX0\pywintypes27.dll
- %TEMP%\RarSFX0\select.pyd
- %TEMP%\RarSFX0\trusted-certs.crt
- %TEMP%\RarSFX0\pythoncom27.dll
- %TEMP%\RarSFX0\pyexpat.pyd
- %TEMP%\RarSFX0\pyHook._cpyHook.pyd
- %TEMP%\RarSFX0\python27.dll
Network activity:
Connects to:
- 'www.dr##box.com':80
TCP:
HTTP GET requests:
- http://www.dr##box.com/
UDP:
- DNS ASK www.dr##box.com
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
