Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\pft3.tmp\Ц¤Кй°ІЧ°.exe'
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' /s <SYSTEM32>\BjcaKeyCtrl.ocx
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
- '<SYSTEM32>\regsvr32.exe' /s <SYSTEM32>\USBKeyPnPActiveX.ocx
- '<SYSTEM32>\regsvr32.exe' /s <SYSTEM32>\BJCASecCOM.dll
- '<SYSTEM32>\regsvr32.exe' /s <SYSTEM32>\BjcaUserCtrl.ocx
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\pft3.tmp\reg.exe
- %TEMP%\pft3.tmp\signcode.exe
- %TEMP%\pft3.tmp\swpkcs11.dll
- %TEMP%\pft3.tmp\REG\SecrityD.reg
- %TEMP%\pft3.tmp\REG\SecrityH.reg
- %TEMP%\pft3.tmp\REG\USBKeyPnPActiveX.reg
- %TEMP%\pft3.tmp\vssver.scc
- %TEMP%\pft3.tmp\xcopy.exe
- %TEMP%\pft3.tmp\ґъВлЗ©Гы.bat
- %TEMP%\pft3.tmp\uninstall.exe
- %TEMP%\pft3.tmp\USBKeyPnPActiveX.ocx
- %TEMP%\pft3.tmp\UsbKeyPnPLib.dll
- %TEMP%\pft3.tmp\REG\BjcaAppCtrl.reg
- %TEMP%\pft3.tmp\REG\BjcaKeyCtrl.reg
- %TEMP%\pft3.tmp\REG\BJCASecCOMV2.reg
- %TEMP%\pft3.tmp\msxml4r.dll
- %TEMP%\pft3.tmp\p10.dll
- %TEMP%\pft3.tmp\QrencodeWin.dll
- %TEMP%\pft3.tmp\REG\SecrityA.reg
- %TEMP%\pft3.tmp\REG\SecrityB.reg
- %TEMP%\pft3.tmp\REG\SecrityC.reg
- %TEMP%\pft3.tmp\REG\BjcaUserCtrl.reg
- %TEMP%\pft3.tmp\REG\BjcaVersionCtrl.reg
- %TEMP%\pft3.tmp\REG\IEProtectedModeProxy1.reg
- <SYSTEM32>\BurnDisk.dll
- <SYSTEM32>\CopyDirec.dll
- <SYSTEM32>\p10.dll
- <SYSTEM32>\UsbKeyPnPLib.dll
- <SYSTEM32>\USBKeyPnPActiveX.ocx
- <SYSTEM32>\BjcaKeyCtrl.ocx
- <SYSTEM32>\BjcaVerson.ocx
- <SYSTEM32>\msxml4.dll
- <SYSTEM32>\msxml4r.dll
- <SYSTEM32>\BJCAAPIENGINE.dll
- <SYSTEM32>\BjcaAppCtrl.ocx
- <SYSTEM32>\QrencodeWin.dll
- C:\BJCAROOT\Trust\key.dat
- C:\BJCAROOT\Trust\cert.dat
- <SYSTEM32>\BCA_ALL.dll
- %TEMP%\pft3.tmp\К±јдґБ.txt
- %TEMP%\pft3.tmp\Ц¤Кй°ІЧ°.exe
- %TEMP%\pft3.tmp\Ц¤Кй№ЬАн№¤ѕЯ.exe
- <SYSTEM32>\BjcaUserCtrl.ocx
- <SYSTEM32>\certc_all.dll
- <SYSTEM32>\swpkcs11.dll
- <SYSTEM32>\BJCA_API.dll
- <SYSTEM32>\BJCA_ConfigManageCall.dll
- <SYSTEM32>\BJCASecCOM.dll
- %TEMP%\pft3.tmp\CopyDirec.dll
- %TEMP%\pft3.tmp\data\BJCAROOT\BJCA_Config.xml
- %TEMP%\pft3.tmp\data\BJCAROOT\certsetup.ini
- %TEMP%\pft3.tmp\BJCAЦ¤Кй№ЬАн№¤ѕЯ.CHM
- %TEMP%\pft3.tmp\BurnDisk.dll
- %TEMP%\pft3.tmp\certc_all.dll
- %TEMP%\pft3.tmp\data\BJCAROOT\Trust\p7b\CA0C01.p7b
- %TEMP%\pft3.tmp\data\BJCAROOT\Trust\p7b\CA0C02.p7b
- %TEMP%\pft3.tmp\data\BJCAROOT\Trust\p7b\CA0D01.p7b
- %TEMP%\pft3.tmp\data\BJCAROOT\Trust\p7b\CA0A01.p7b
- %TEMP%\pft3.tmp\data\BJCAROOT\Trust\p7b\CA0B01.p7b
- %TEMP%\pft3.tmp\data\BJCAROOT\Trust\p7b\CA0B02.p7b
- %TEMP%\pft3.tmp\BCA_ALL.dll
- %TEMP%\pft3.tmp\BJCAAPIENGINE.dll
- %TEMP%\pft3.tmp\BjcaAppCtrl.ocx
- %TEMP%\ext2.tmp
- %TEMP%\plf1.tmp
- %TEMP%\pft3.tmp\pftw1.pkg
- %TEMP%\pft3.tmp\BjcaVerson.ocx
- %TEMP%\pft3.tmp\BJCA_API.dll
- %TEMP%\pft3.tmp\BJCA_ConfigManageCall.dll
- %TEMP%\pft3.tmp\BjcaKeyCtrl.ocx
- %TEMP%\pft3.tmp\BJCASecCOM.dll
- %TEMP%\pft3.tmp\BjcaUserCtrl.ocx
- %TEMP%\pft3.tmp\driver\BJCA14.exe
- %TEMP%\pft3.tmp\driver\BJCA24.exe
- %TEMP%\pft3.tmp\driver\bjcakey_FT3003hn.dll
- %TEMP%\pft3.tmp\driver\BJCA03_64.exe
- %TEMP%\pft3.tmp\driver\BJCA07.exe
- %TEMP%\pft3.tmp\driver\BJCA08.exe
- %TEMP%\pft3.tmp\mfc42.dll
- %TEMP%\pft3.tmp\msvcirt.dll
- %TEMP%\pft3.tmp\msxml4.dll
- %TEMP%\pft3.tmp\driver\bjcakey_MH.dll
- %TEMP%\pft3.tmp\driver\UninstallTool_Feitian3000.exe
- %TEMP%\pft3.tmp\IEProtectedModeProxy.exe
- %TEMP%\pft3.tmp\data\BJCAROOT\vssver.scc
- %TEMP%\pft3.tmp\data\gcaroot.rt
- %TEMP%\pft3.tmp\data\pcaroot.rt
- %TEMP%\pft3.tmp\data\BJCAROOT\Trust\p7b\CA0E01.p7b
- %TEMP%\pft3.tmp\data\BJCAROOT\Trust\p7b\CA0E02.p7b
- %TEMP%\pft3.tmp\data\BJCAROOT\Trust\p7b\vssver.scc
- %TEMP%\pft3.tmp\data\vssver.scc
- %TEMP%\pft3.tmp\driver\BJCA02.exe
- %TEMP%\pft3.tmp\driver\BJCA03.exe
- %TEMP%\pft3.tmp\data\ucaroot.rt
- %TEMP%\pft3.tmp\data\utcaroot.rt
- %TEMP%\pft3.tmp\data\vcaroot.rt
Удаляет следующие файлы:
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
- <SYSTEM32>\PerfStringBackup.TMP
- %TEMP%\ext2.tmp
- %TEMP%\pft3.tmp\pftw1.pkg
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
Добавляет корневой сертификат
