Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'XPS Rasterization Service Component' = '%ProgramFiles%\XPS Rasterization Service Component\xservice.exe'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%ProgramFiles%\XPS Rasterization Service Component\xps.exe' = '%Progra...
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /k timeout /t 2 & del /F /Q "<Полный путь к файлу>" & Exit
- '%ProgramFiles%\XPS Rasterization Service Component\xservice.exe'
- '%ProgramFiles%\XPS Rasterization Service Component\xps.exe' -second
Изменения в файловой системе:
Создает следующие файлы:
- %ProgramFiles%\XPS Rasterization Service Component\xservice.exe
- %TEMP%\aut4.tmp
- %ProgramFiles%\XPS Rasterization Service Component\vp8encoder.dll
- %ProgramFiles%\XPS Rasterization Service Component\Screen(04_01).jpg
- %ProgramFiles%\XPS Rasterization Service Component\Log(10.10.2016).txt
- %ProgramFiles%\XPS Rasterization Service Component\pwd.txt
- %ProgramFiles%\XPS Rasterization Service Component\settings.dat
- %TEMP%\aut1.tmp
- %ProgramFiles%\XPS Rasterization Service Component\xps.exe
- %TEMP%\aut3.tmp
- %ProgramFiles%\XPS Rasterization Service Component\vp8decoder.dll
- %TEMP%\aut2.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- %ProgramFiles%\XPS Rasterization Service Component\pwd.txt
- %ProgramFiles%\XPS Rasterization Service Component\xservice.exe
- %ProgramFiles%\XPS Rasterization Service Component\Screen(04_01).jpg
- %ProgramFiles%\XPS Rasterization Service Component\Log(10.10.2016).txt
- %ProgramFiles%\XPS Rasterization Service Component\settings.dat
- %ProgramFiles%\XPS Rasterization Service Component\xps.exe
- %ProgramFiles%\XPS Rasterization Service Component\vp8encoder.dll
- %ProgramFiles%\XPS Rasterization Service Component\vp8decoder.dll
Удаляет следующие файлы:
- %TEMP%\aut3.tmp
- %TEMP%\aut4.tmp
- %TEMP%\aut1.tmp
- %TEMP%\aut2.tmp
Самоудаляется.
Сетевая активность:
Подключается к:
- 'rm#####ver.tektonit.ru':563
- 'rm#####ver.tektonit.ru':5655
- 'rm##sys.ru':80
TCP:
Запросы HTTP GET:
- http://rm##sys.ru/utils/inet_id_notify.php?te####
UDP:
- DNS ASK rm#####ver.tektonit.ru
- DNS ASK rm##sys.ru
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
