Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\VBSFile\Shell\Open\Command] '' = ''
- [<HKLM>\SOFTWARE\Classes\WSFFile\Shell\Open\Command] '' = ''
- [<HKLM>\SOFTWARE\Classes\VBEFile\Shell\Open\Command] '' = ''
- [<HKLM>\SOFTWARE\Classes\JSFile\Shell\Open\Command] '' = ''
- [<HKLM>\SOFTWARE\Classes\JSEFile\Shell\Open\Command] '' = ''
Вредоносные функции:
Запускает на исполнение:
- <SYSTEM32>\cscript.exe /h:cscript
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CasPol.exe /q -machine -addgroup 1 -allcode FullTrust -name GST_ALL
- <SYSTEM32>\cmd.exe /c "%TEMP%\\VistaSetting.bat"
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch.new
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch.new
- %TEMP%\VistaSetting.bat
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.new
Удаляет следующие файлы:
- %TEMP%\VistaSetting.bat
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
