Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '%WINDIR%\Temp\KMSAuto\bin.dat' -y -pkmsauto
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\4.tmp\5.bat" "%TEMP%\1.tmp\start.exe""
- '%TEMP%\4.tmp\windows.exe' 10
- '<SYSTEM32>\cmd.exe' /c bin.dat -y -pkmsauto
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\2.bat" <Полный путь к файлу>"
- '%TEMP%\1.tmp\KMSAuto.exe'
- '%TEMP%\1.tmp\start.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\Temp\KMSAuto\bin.dat
- %TEMP%\4.tmp\windows.exe
- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\windows.exe
- %WINDIR%\Temp\KMSAuto\bin\KMSSS.exe
- %TEMP%\4.tmp\5.bat
- %TEMP%\1.tmp\KMSAuto.exe
- %TEMP%\1.tmp\2.bat
- %TEMP%\1.tmp\start.exe
- %TEMP%\1.tmp\KMSAutoLite.ini
Удаляет следующие файлы:
- %TEMP%\1.tmp\2.bat
- %TEMP%\4.tmp\windows.exe
- %TEMP%\4.tmp\5.bat
- %TEMP%\1.tmp\KMSAuto.exe
- %TEMP%\1.tmp\KMSAutoLite.ini
- %TEMP%\1.tmp\start.exe
Другое:
Ищет следующие окна:
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
