Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
Вредоносные функции:
Запускает на исполнение:
- '%WINDIR%\regedit.exe' /s move.reg
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /t REG_SZ /d http://www.ha##23.com /f
- '<SYSTEM32>\notepad.exe' C:\sn.txt
- '%WINDIR%\regedit.exe' /s ie.reg
- '<SYSTEM32>\cmd.exe' /c ""C:\up.bat" "
- '<SYSTEM32>\xcopy.exe' windows\*.* %WINDIR%\ /s /h /d /y
- '%WINDIR%\regedit.exe' /s dn.reg
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Internet Explorer\Main] 'Window Title' = '[文汇电脑专业装机店 技术支持：陈推 客服QQ：3369364 客服专线：0834-2682324、18981599881]'
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- C:\dn.reg
- C:\desktop.reg
- C:\check.reg
- C:\sn.txt
- C:\ie.reg
- C:\ico.ico
- <SYSTEM32>\Thumbs.db
- C:\文汇电脑壁纸.jpg
- C:\清理多余启动项.bat
- C:\up.bat
- <SYSTEM32>\oemlogo.bmp
- <SYSTEM32>\OEMInfo.ini
- C:\move.reg
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\Thumbs.db
Другое:
Ищет следующие окна:
- ClassName: 'RegEdit_RegEdit' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
