Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'Adobe Flash Player' = '"%PROGRAM_FILES%\FireFox\chrome\toolkit\res\flashupd.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'Java(TM) Platform SE Auto Updater' = '"%CommonProgramFiles%\Microsoft Shared\web server extensions\40\admisapi\jusched.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Google Update' = '"%PROGRAM_FILES%\FireFox\chrome\en-US\locale\en-US\global-region\GoogleUpdate.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Synaptics TouchPad Enhancements' = '"%PROGRAM_FILES%\FireFox\chrome\browser\skin\classic\browser\feeds\syntpenh.exe"'
Создает или изменяет следующие файлы:
- %ALLUSERSPROFILE%\Start Menu\Programs\Startup\javaupd.exe
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\Java\jre7\javaupd.exe'
Запускает на исполнение:
- '<SYSTEM32>\schtasks.exe' /CREATE /F /SC ONLOGON /TN "Java(TM) Platform SE Auto Updater" /TR "%PROGRAM_FILES%\FireFox\chrome\en-US\locale\en-US\mozapps\preferences\jusched.exe"
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\FireFox\chrome\toolkit\res\~bqtvhva.tmp
- %PROGRAM_FILES%\FireFox\chrome\toolkit\res\AdobeARM.exe
- %PROGRAM_FILES%\FireFox\chrome\en-US\locale\en-US\mozapps\preferences\~hcakoqj.tmp
- %PROGRAM_FILES%\FireFox\chrome\en-US\locale\en-US\mozapps\preferences\jusched.exe
- %TEMP%\aut3.tmp
- %TEMP%\aut4.tmp
- %TEMP%\aut1.tmp
- %TEMP%\aut2.tmp
- %CommonProgramFiles%\Microsoft Shared\web server extensions\40\admisapi\jusched.exe
- %PROGRAM_FILES%\FireFox\chrome\en-US\locale\en-US\global-region\GoogleUpdate.exe
- %PROGRAM_FILES%\FireFox\chrome\browser\skin\classic\browser\feeds\~uhlzgkk.tmp
- %PROGRAM_FILES%\Java\jre7\javaupd.exe
- %PROGRAM_FILES%\FireFox\chrome\en-US\locale\en-US\global-region\~qppkcxu.tmp
- %PROGRAM_FILES%\FireFox\chrome\toolkit\res\flashupd.exe
- %CommonProgramFiles%\Microsoft Shared\web server extensions\40\admisapi\~qlxbtjt.tmp
- %PROGRAM_FILES%\FireFox\chrome\browser\skin\classic\browser\feeds\syntpenh.exe
- %PROGRAM_FILES%\FireFox\chrome\toolkit\res\~etjvwnv.tmp
Удаляет следующие файлы:
- %PROGRAM_FILES%\FireFox\chrome\en-US\locale\en-US\global-region\GoogleUpdate.exe
- %PROGRAM_FILES%\FireFox\chrome\browser\skin\classic\browser\feeds\syntpenh.exe
- %TEMP%\aut4.tmp
- %ALLUSERSPROFILE%\Start Menu\Programs\Startup\javaupd.exe
- %PROGRAM_FILES%\FireFox\chrome\en-US\locale\en-US\mozapps\preferences\jusched.exe
- %PROGRAM_FILES%\FireFox\chrome\toolkit\res\AdobeARM.exe
- %PROGRAM_FILES%\FireFox\chrome\toolkit\res\flashupd.exe
- %CommonProgramFiles%\Microsoft Shared\web server extensions\40\admisapi\jusched.exe
- %TEMP%\aut3.tmp
- %PROGRAM_FILES%\FireFox\chrome\toolkit\res\~etjvwnv.tmp
- %CommonProgramFiles%\Microsoft Shared\web server extensions\40\admisapi\~qlxbtjt.tmp
- %PROGRAM_FILES%\FireFox\chrome\en-US\locale\en-US\global-region\~qppkcxu.tmp
- %PROGRAM_FILES%\FireFox\chrome\browser\skin\classic\browser\feeds\~uhlzgkk.tmp
- %TEMP%\aut1.tmp
- %TEMP%\aut2.tmp
- %PROGRAM_FILES%\FireFox\chrome\en-US\locale\en-US\mozapps\preferences\~hcakoqj.tmp
- %PROGRAM_FILES%\FireFox\chrome\toolkit\res\~bqtvhva.tmp
Перемещает следующие файлы:
- %PROGRAM_FILES%\Java\jre7\javaupd.exe в %PROGRAM_FILES%\Java\jre7\javaupd.exe
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
