Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\cmdfile\shell\open\command] '' = '<Полный путь к вирусу>'
- [<HKLM>\SOFTWARE\Classes\scrfile\shell\open\command] '' = '<Полный путь к вирусу>'
- [<HKLM>\SOFTWARE\Classes\comfile\shell\open\command] '' = '<Полный путь к вирусу>'
- [<HKLM>\SOFTWARE\Classes\regfile\shell\open\command] '' = '<Полный путь к вирусу>'
- [<HKLM>\SOFTWARE\Classes\batfile\shell\open\command] '' = '<Полный путь к вирусу>'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\logonui.exe' /status
- '<SYSTEM32>\shutdown.exe' -l
- '<SYSTEM32>\wscript.exe' "%WINDIR%\1f4.vbs"
Завершает или пытается завершить
следующие пользовательские процессы:
- 360tray.exe
Пытается завершить работу операционной системы Windows.
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\1f4.bat
- \Device\LanmanRedirector\CRNJEUFU*\MAILSLOT\NET\NETLOGON
- %WINDIR%\1f4.reg
- %WINDIR%\1f4.vbs
Удаляет следующие файлы:
- %WINDIR%\1f4.reg
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'StatusWindowClass' WindowName: '(null)'
- ClassName: '(null)' WindowName: 'Microsoft Internet Explorer'
