Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'wins' = '"%TEMP%\RarSFX0\UniPDFPortable.exe" -tray'
- [<HKLM>\SOFTWARE\Classes\wins\shell\open\command] '' = '"%TEMP%\RarSFX0\UniPDFPortable.exe" "%1"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'UniPDFPortable' = '%TEMP%\RarSFX0\UniPDFPortable.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'UniPDFPortable' = '%TEMP%\RarSFX0\UniPDFPortable.exe'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\RarSFX0\UniPDFPortable.exe' = '%TEMP%\RarSFX0\UniPDFPortable.exe:*:Enabled:wins'
Создает и запускает на исполнение:
- '%TEMP%\RarSFX0\UniPDFPortable.exe'
Запускает на исполнение:
- '<SYSTEM32>\wscript.exe' "%TEMP%\RarSFX0\UniPDFPortable.vbs"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RarSFX0\Conf\Settings.cfg
- %TEMP%\RarSFX0\Conf\Servers.cfg
- %TEMP%\RarSFX0\LinkMaker.dll
- %TEMP%\RarSFX0\foxyinstalled.dll
- %TEMP%\RarSFX0\UniPDFPortable.vbs
- %TEMP%\RarSFX0\UniPDFPortable.exe
- %TEMP%\RarSFX0\Conf\Foxy.cfg
- %TEMP%\RarSFX0\Conf\Addresses.cfg
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\RarSFX0\Conf\Settings.cfg
- %TEMP%\RarSFX0\Conf\Servers.cfg
- %TEMP%\RarSFX0\LinkMaker.dll
- %TEMP%\RarSFX0\foxyinstalled.dll
- %TEMP%\RarSFX0\UniPDFPortable.vbs
- %TEMP%\RarSFX0\UniPDFPortable.exe
- %TEMP%\RarSFX0\Conf\Foxy.cfg
- %TEMP%\RarSFX0\Conf\Addresses.cfg
Удаляет следующие файлы:
- %TEMP%\RarSFX0\UniPDFPortable.exe
- %TEMP%\RarSFX0\LinkMaker.dll
- %TEMP%\RarSFX0\foxyinstalled.dll
Сетевая активность:
Подключается к:
- '36.##1.215.233':16303
- '12#.#10.158.156':5291
- '1.##1.57.37':4999
- 'up####.iblinx.com':2106
- '11#.#4.174.206':8625
- '11#.#43.39.4':7572
- '18#.#18.110.121':10399
- '11#.#47.213.236':9725
- '22#.#42.140.133':20082
- '21#.#5.247.103':18638
- '11#.#4.20.203':14520
- 'localhost':1039
- '36.##9.175.56':9890
- '11#.#43.181.36':13062
- '1.##4.2.72':9360
- '12#.#95.123.193':8468
- '11#.#31.82.33':22904
- '61.##.50.127':4022
UDP:
- DNS ASK gw#.#blinx.com
- DNS ASK ku##er.com
- DNS ASK tw.####on.iblinx.com
- DNS ASK up####.iblinx.com
- 'localhost':1054
- 'localhost':1053
- '23#.#55.255.250':1900
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
