Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'wins' = '"%TEMP%\RarSFX0\UniPDFPortable.exe" -tray'
- [<HKLM>\SOFTWARE\Classes\wins\shell\open\command] '' = '"%TEMP%\RarSFX0\UniPDFPortable.exe" "%1"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'UniPDFPortable' = '%TEMP%\RarSFX0\UniPDFPortable.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'UniPDFPortable' = '%TEMP%\RarSFX0\UniPDFPortable.exe'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\RarSFX0\UniPDFPortable.exe' = '%TEMP%\RarSFX0\UniPDFPortable.exe:*:Enabled:wins'
Создает и запускает на исполнение:
- '%TEMP%\UniPDF.exe'
- '%TEMP%\RarSFX0\UniPDFPortable.exe'
- '%TEMP%\·sјWёк®Ж§Ё\o.exe'
- '%TEMP%\b.exe'
Запускает на исполнение:
- '<SYSTEM32>\dumprep.exe' 2872 -dm 7 7 %TEMP%\WER3c70.dir00\UniPDF.exe.hdmp 16325836412027560
- '<SYSTEM32>\dumprep.exe' 2872 -dm 7 7 %TEMP%\WER3c70.dir00\UniPDF.exe.mdmp 16325836412027540
- '<SYSTEM32>\wscript.exe' "%TEMP%\RarSFX0\UniPDFPortable.vbs"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RarSFX0\Conf\Foxy.cfg
- %TEMP%\RarSFX0\Conf\Servers.cfg
- %TEMP%\RarSFX0\Conf\Settings.cfg
- %TEMP%\RarSFX0\UniPDFPortable.exe
- %TEMP%\RarSFX0\UniPDFPortable.vbs
- %TEMP%\RarSFX0\Conf\Addresses.cfg
- %TEMP%\RarSFX0\foxyinstalled.dll
- %TEMP%\WER3c70.dir00\UniPDF.exe.hdmp
- %TEMP%\WER3c70.dir00\appcompat.txt
- %TEMP%\WER3c70.dir00\manifest.txt
- %TEMP%\RarSFX0\LinkMaker.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\index[1].html
- %TEMP%\WER3c70.dir00\UniPDF.exe.mdmp
- %TEMP%\config.xml
- %TEMP%\easyConverter.rsc
- %TEMP%\language.xml
- %TEMP%\·sјWёк®Ж§Ё\o.exe
- %TEMP%\FP2.tmp
- %TEMP%\b.exe
- %TEMP%\th.dll
- %TEMP%\twlib.dll
- %TEMP%\UniPDF.exe
- %TEMP%\Log.uni
- %TEMP%\ti.dll
- %TEMP%\tt.dll
- %TEMP%\tw.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\RarSFX0\Conf\Settings.cfg
- %TEMP%\RarSFX0\Conf\Servers.cfg
- %TEMP%\RarSFX0\LinkMaker.dll
- %TEMP%\RarSFX0\foxyinstalled.dll
- %TEMP%\RarSFX0\UniPDFPortable.vbs
- %TEMP%\RarSFX0\UniPDFPortable.exe
- %TEMP%\RarSFX0\Conf\Foxy.cfg
- %TEMP%\RarSFX0\Conf\Addresses.cfg
Удаляет следующие файлы:
- %TEMP%\RarSFX0\UniPDFPortable.exe
- %TEMP%\RarSFX0\LinkMaker.dll
- %TEMP%\RarSFX0\foxyinstalled.dll
Сетевая активность:
Подключается к:
- '11#.#4.119.141':8700
- '11#.#0.176.22':24745
- '12#.#10.158.156':5291
- '12#.#04.129.221':19438
- 'gw#.#blinx.com':2108
- 'tw.####on.iblinx.com':2107
- 'up####.iblinx.com':2106
- '36.##9.175.56':9890
- 'localhost':1041
- 'www.un##df.com':80
- '27.#47.3.87':14771
- '11#.#51.196.210':11191
- '11#.#7.147.173':15153
- '61.##.50.127':4022
TCP:
Запросы HTTP GET:
- www.un##df.com/news/index.html
UDP:
- DNS ASK gw#.#blinx.com
- DNS ASK ku##er.com
- DNS ASK tw.####on.iblinx.com
- DNS ASK www.un##df.com
- DNS ASK up####.iblinx.com
- '23#.#55.255.250':1900
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
