Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'screentkUpdater' = '<LS_APPDATA>\screentk\screentkup.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'screentoolkit.exe' = '<LS_APPDATA>\screentk\screentoolkit.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'screentk' = '<LS_APPDATA>\screentk\screentool.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\screentk] 'ImagePath' = 'screentk.sys'
- [<HKLM>\SYSTEM\ControlSet001\Services\screentk] 'Start' = '00000001'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\nsa2.tmp\ns3.tmp' wmic /NAMESPACE:\\root\CIMV2 path Win32_Processor get ProcessorId
- '<LS_APPDATA>\screentk\screentool.exe'
- '%TEMP%\nsa2.tmp\ns7.tmp' wmic /NAMESPACE:\\root\CIMV2 path Win32_UserAccount.name='andy' get SID
- '<LS_APPDATA>\screentk\nss\certutil.exe' -A -t "TCu" -i "<LS_APPDATA>\screentk\screentk\SSL\NetFilterSDK.cer" -n "NetFilterSDK" -d "%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default"
- '<LS_APPDATA>\screentk\nss\certutil.exe' -A -t "TCu" -i "NetFilterSDK.cer" -n "NetFilterSDK" -d "%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default"
- '<LS_APPDATA>\screentk\import_root_cert.exe' NetFilterSDK.cer
- '<LS_APPDATA>\screentk\screentoolkit.exe'
- '<LS_APPDATA>\screentk\inst.exe' screentk
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmic.exe' /NAMESPACE:\\root\CIMV2 path Win32_UserAccount.name='andy' get SID
- '<SYSTEM32>\ping.exe' vk.com
- '<SYSTEM32>\wbem\wmic.exe' /NAMESPACE:\\root\CIMV2 path Win32_Processor get ProcessorId
Завершает или пытается завершить
следующие пользовательские процессы:
- opera.exe
- firefox.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsa2.tmp\ns3.tmp
- %TEMP%\screeny_cursor.ani
- %TEMP%\tmp5.tmp
- %TEMP%\tmp4.tmp
- <LS_APPDATA>\screentk\uninstall.exe
- <LS_APPDATA>\screentk\screentkup.exe
- %HOMEPATH%\Start Menu\Programs\Screentool\Screentool - снимки экрана.lnk
- %TEMP%\nsa2.tmp\nsExec.dll
- %HOMEPATH%\Start Menu\Programs\Screentool\Uninstall.lnk
- <LS_APPDATA>\screentk\TempWmicBatchFile.bat
- <SYSTEM32>\wbem\AutoRecover\23BDE61F1F4FACE17E9B0C01F2A1FD9B.mof
- %TEMP%\nsa2.tmp\ns7.tmp
- %TEMP%\nsa2.tmp\inetc.dll
- %TEMP%\nsa2.tmp\md5dll.dll
- <LS_APPDATA>\screentk\screentk\SSL\NetFilterSDK.cer
- <LS_APPDATA>\screentk\ping.txt
- <LS_APPDATA>\screentk\screentk\SSL\NetFilterSDK.pvk
- %TEMP%\tmp6.tmp
- <SYSTEM32>\wbem\AutoRecover\C8463ECBE33BC240263A0B094E46D510.mof
- <LS_APPDATA>\screentk\nss\mozcrt19.dll
- <LS_APPDATA>\screentk\nss\certutil.exe
- <LS_APPDATA>\screentk\nss\nspr4.dll
- <LS_APPDATA>\screentk\nss\plc4.dll
- <LS_APPDATA>\screentk\nss\nss3.dll
- %TEMP%\nsa2.tmp\System.dll
- %TEMP%\nsa2.tmp\nsProcess.dll
- %WINDIR%\screentk.sys
- <LS_APPDATA>\screentk\import_root_cert.exe
- <LS_APPDATA>\screentk\NetFilterSDK.cer
- <LS_APPDATA>\screentk\libeay32.dll
- <LS_APPDATA>\screentk\ssleay32.dll
- <LS_APPDATA>\screentk\screentool.exe
- <LS_APPDATA>\screentk\inst.exe
- <LS_APPDATA>\screentk\screentoolkit.exe
- <LS_APPDATA>\screentk\nss\smime3.dll
- <LS_APPDATA>\screentk\nss\plds4.dll
- <LS_APPDATA>\screentk\nss\softokn3.dll
- <LS_APPDATA>\screentk\ProtocolFilters.dll
- <LS_APPDATA>\screentk\nfapi.dll
Удаляет следующие файлы:
- %TEMP%\tmp6.tmp
- %TEMP%\nsa2.tmp\ns3.tmp
- %TEMP%\nsa2.tmp\ns7.tmp
- %TEMP%\tmp5.tmp
- %TEMP%\screeny_cursor.ani
- %TEMP%\tmp4.tmp
- <LS_APPDATA>\screentk\ping.txt
Сетевая активность:
Подключается к:
- 'st###.cpastark.ru':80
TCP:
Запросы HTTP GET:
- st###.cpastark.ru/810/eydleF9zb2Z0JzonZmFsc2UnLCdleF9yZWZpZCc6JzgxMCcsJ2V4X3NlcmlhbCc6JzMxODg5NTVkYThmYjMzMTM5ZWE0MTU5NDU3YWU4NzVkXzkyJ30=
UDP:
- DNS ASK st###.cpastark.ru
- DNS ASK vk.com
Другое:
Ищет следующие окна:
- ClassName: '#32770' WindowName: ''
- ClassName: 'SysListView32' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'MozillaUIWindowClass' WindowName: ''
Добавляет корневой сертификат
