Техническая информация
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
Запускает на исполнение:
- %WINDIR%\regedit.exe /s rising2.reg
- <SYSTEM32>\wscript.exe "%PROGRAM_FILES%\Messenger\messenger.jse"
- <SYSTEM32>\cscript.exe "<SYSTEM32>\myie.vbs"
- %WINDIR%\regedit.exe /s rising1.reg
Изменяет следующие настройки проводника Windows (Windows Explorer):
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoInternetIcon' = '00000001'
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\Internet Explorer\MUI\iexplore.exe
- %PROGRAM_FILES%\Messenger\Ntype.exe
- %TEMP%\nsi3.tmp\nsExec.dll
- %TEMP%\nsi3.tmp\ns4.tmp
- %PROGRAM_FILES%\lnkfiles\15.txt
- %TEMP%\~nsu.tmp\Au_.exe
- %TEMP%\nsz9.tmp
- %TEMP%\nsi3.tmp\ns5.tmp
- %TEMP%\nsn7.tmp
- %TEMP%\uninst.exe
- <SYSTEM32>\rising1.reg
- <SYSTEM32>\rising2.reg
- %TEMP%\nsy2.tmp
- <SYSTEM32>\myie.vbs
- <SYSTEM32>\flash.scf
- %TEMP%\nsi3.tmp\System.dll
- %TEMP%\sogou.ini
- %PROGRAM_FILES%\Messenger\messenger.jse
- %PROGRAM_FILES%\Messenger\taodwq.ico
Удаляет следующие файлы:
- %TEMP%\nsi3.tmp\System.dll
- %TEMP%\uninst.exe
- %TEMP%\sogou.ini
- %TEMP%\nsi3.tmp\ns4.tmp
- %TEMP%\nsi3.tmp\ns5.tmp
- %TEMP%\nsi3.tmp\nsExec.dll
Самоудаляется.
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'RegEdit_RegEdit' WindowName: ''
