Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Wizard' = 'file:%WINDIR%\Wizard.lnk'
Создает или изменяет следующие файлы:
- %ALLUSERSPROFILE%\Start Menu\Programs\Startup\Advanced.lnk
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
Создает и запускает на исполнение:
- '%CommonProgramFiles%\SCTools.jy' /pid=2732
- '%CommonProgramFiles%\SCTools.jy' x -p101112 mxxh.zq /y
Запускает на исполнение:
- '<SYSTEM32>\findstr.exe' /f /im SiteHelp.exe
- '<SYSTEM32>\taskkill.exe' /f /im Systemrs.exe
- '<SYSTEM32>\net1.exe' /f /im ShClick.dat
- '<SYSTEM32>\tasklist.exe' /pid=3048
- '<SYSTEM32>\findstr.exe' /f /im shzqgj.exe
- '<SYSTEM32>\tasklist.exe' /pid=3124
- '<SYSTEM32>\taskkill.exe' /f /im sigjzq.exe
- '<SYSTEM32>\taskkill.exe' /f /im sisll.exe
- '<SYSTEM32>\taskkill.exe' /f /im sh.exe
- '<SYSTEM32>\taskkill.exe' /f /im shgjzq.exe
- '<SYSTEM32>\taskkill.exe' /f /im shsll.exe
- '<SYSTEM32>\taskkill.exe' /f /im shll.exe
- '<SYSTEM32>\findstr.exe' /f /im windovser.exe
- '<SYSTEM32>\taskkill.exe' /F /IM winloads.exe
- '<SYSTEM32>\taskkill.exe' /F /IM xviewer.exe
- '<SYSTEM32>\taskkill.exe' /f /im Rescue.exe
- '<SYSTEM32>\taskkill.exe' /F /IM csrse.exe
- '<SYSTEM32>\taskkill.exe' /F /IM wiuioiner.exe
- '<SYSTEM32>\taskkill.exe' /F /IM wiuioinen.exe
- '<SYSTEM32>\taskkill.exe' /f /im deviser.exe
- '<SYSTEM32>\taskkill.exe' /f /im senioers.exe
- '<SYSTEM32>\tasklist.exe' /pid=3028
- '<SYSTEM32>\taskkill.exe' /f /im servners.exe
- '<SYSTEM32>\alg.exe' /f /im sxhsq.exe
- '<SYSTEM32>\net1.exe' /pid=872
- '<SYSTEM32>\taskkill.exe' /f /im si.exe
- '<SYSTEM32>\reg.exe' delete HKEY_CURRENT_USER\Software\sitehelp /f
- '<SYSTEM32>\taskkill.exe' delete HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v RavTrey /f
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\Currentversion\Explorer\Advanced /v ShowSuperHidden /t REG_DWORD /d 0 /f
- '<SYSTEM32>\taskkill.exe' /d
- '<SYSTEM32>\taskkill.exe' /pid=3972
- '<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v Wizard /d "file:%WINDIR%\Wizard.lnk" /f
- '<SYSTEM32>\reg.exe' delete HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden /f
- '<SYSTEM32>\attrib.exe' "%CommonProgramFiles%\System\Advanced" +h
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 15
- '<SYSTEM32>\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 1 /f
- '<SYSTEM32>\taskkill.exe' /pid=904
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\Currentversion\Explorer\Advanced /v Hidden /t REG_DWORD /d 2 /f
- '<SYSTEM32>\taskkill.exe' /f /im s.exe
- '<SYSTEM32>\taskkill.exe' /f /im sizq.exe
- '<SYSTEM32>\taskkill.exe' /f /im 135.exe
- '<SYSTEM32>\taskkill.exe' /f /im 445.exe
- '<SYSTEM32>\taskkill.exe' /f /im shgj.exe
- '<SYSTEM32>\taskkill.exe' /f /im sigj.exe
- '<SYSTEM32>\taskkill.exe' /f /im shzq.exe
- '<SYSTEM32>\taskkill.exe' /f /im 3389.exe
- '<SYSTEM32>\taskkill.exe' /f /im 1.exe
- '<SYSTEM32>\taskkill.exe' /f /im 2.exe
- '<SYSTEM32>\taskkill.exe' /f /im 3306.exe
- '<SYSTEM32>\taskkill.exe' /pid=3792
- '<SYSTEM32>\taskkill.exe' /f /im 1433.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Backup.exe
- '<SYSTEM32>\net1.exe' STOP "Rsd Service"
- '<SYSTEM32>\taskkill.exe' /F /IM 360sd.exe
- '<SYSTEM32>\taskkill.exe' /F /IM 360rp.exe
- '<SYSTEM32>\net.exe' STOP "Rav Service"
- '<SYSTEM32>\net1.exe' STOP "Rav Service"
- '<SYSTEM32>\net.exe' STOP "Rsd Service"
- '<SYSTEM32>\taskkill.exe' /F /IM egui.exe
- '<SYSTEM32>\taskkill.exe' /F /IM ekrn.exe
- '<SYSTEM32>\taskkill.exe' /F /IM knsdtray.exe
- '<SYSTEM32>\taskkill.exe' /F /IM 360tray.exe
- '<SYSTEM32>\taskkill.exe' /F /IM 360Safe.exe
- '<SYSTEM32>\taskkill.exe' /F /IM ZhuDongFangYu.exe
- '<SYSTEM32>\net1.exe' STOP "ESET Service"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\7ZSfx000.cmd" "
- '<SYSTEM32>\tasklist.exe'
- '<SYSTEM32>\findstr.exe' /i "Resio.exe"
- '<SYSTEM32>\wscript.exe' "%CommonProgramFiles%\xhzq.vbe"
- '<SYSTEM32>\net.exe' stop sharedaccess
- '<SYSTEM32>\net1.exe' stop sharedaccess
- '<SYSTEM32>\net.exe' STOP "ESET HTTP Server"
- '<SYSTEM32>\net1.exe' STOP "ESET HTTP Server"
- '<SYSTEM32>\net.exe' STOP "ESET Service"
- '<SYSTEM32>\findstr.exe' /i "Unlocker.exe"
- '<SYSTEM32>\findstr.exe' /i "Rocket.exe"
- '<SYSTEM32>\findstr.exe' /i "Wizard.exe"
- '<SYSTEM32>\taskkill.exe' /F /IM knsdsvc.exe
- '<SYSTEM32>\taskkill.exe' /F /IM knsdave.exe
- '<SYSTEM32>\taskkill.exe' /F /IM kxescore.exe
- '<SYSTEM32>\taskkill.exe' /F /IM kxesapp.exe
- '<SYSTEM32>\taskkill.exe' /F /IM KSafeTray.exe
- '<SYSTEM32>\taskkill.exe' /F /IM upsvc.exe
- '<SYSTEM32>\taskkill.exe' /F /IM kisuisp.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Unlocker.exe
- '<SYSTEM32>\taskkill.exe' /F /IM carse.exe
- '<SYSTEM32>\taskkill.exe' /F /IM csras.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Wizard.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Rocket.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Resio.exe
- '<SYSTEM32>\taskkill.exe' /F /IM KSafe.exe
- '<SYSTEM32>\taskkill.exe' /F /IM avgchsvx.exe
- '<SYSTEM32>\taskkill.exe' /F /IM avgnsx.exe
- '<SYSTEM32>\taskkill.exe' /F /IM avgrsx.exe
- '<SYSTEM32>\taskkill.exe' /F /IM RavMonD.exe
- '<SYSTEM32>\taskkill.exe' /F /IM RsMgrSvc.exe
- '<SYSTEM32>\taskkill.exe' /F /IM RsTray.exe
- '<SYSTEM32>\taskkill.exe' /F /IM kxetray.exe
- '<SYSTEM32>\taskkill.exe' /F /IM kwsmain.exe
- '<SYSTEM32>\taskkill.exe' /F /IM kismain.exe
- '<SYSTEM32>\taskkill.exe' /F /IM avgcsrvx.exe
- '<SYSTEM32>\taskkill.exe' /F /IM avgtray.exe
- '<SYSTEM32>\taskkill.exe' /F /IM avgwdsvc.exe
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\taskkill.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- ekrn.exe
- 360tray.exe
Изменения в файловой системе:
Создает следующие файлы:
- %CommonProgramFiles%\System\Advanced\Wizard.vbe
- %TEMP%\7ZSfx000.cmd
- %CommonProgramFiles%\pz.ini
- %WINDIR%\Wizard.lnk
- %CommonProgramFiles%\System\Advanced\┼ф╓├.ini
- %CommonProgramFiles%\System\Advanced\Wizard.exe
- %CommonProgramFiles%\Wizard.exe
- %CommonProgramFiles%\mxxh.zq
- %CommonProgramFiles%\xhzq.vbe
- %CommonProgramFiles%\SCTools.jy
- %CommonProgramFiles%\Wizard.VBE
- %CommonProgramFiles%\Wizard.bat
- %CommonProgramFiles%\mxxh.bat
Удаляет следующие файлы:
- %TEMP%\7ZSfx000.cmd
- %CommonProgramFiles%\xhzq.vbe
Самоудаляется.
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: '(null)'
