Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions\{B1BE8D72-6EAC-11D2-A4EA-00C04F79F83A}] 'DllName' = 'scecli.dll'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions\{827D319E-6EAC-11D2-A4EA-00C04F79F83A}] 'DllName' = 'scecli.dll'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\net.exe' stop winmgmt /y
- '<SYSTEM32>\net1.exe' stop winmgmt /y
- '<SYSTEM32>\regsvr32.exe' /s <SYSTEM32>\scecli.dll
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\2860A0DY.cmd" <Полный путь к файлу>"
- '<SYSTEM32>\net.exe' stop sharedaccess
- '<SYSTEM32>\net1.exe' stop sharedaccess
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\Temp\tmp29.tmp
- %WINDIR%\Temp\tmp28.tmp
- %WINDIR%\Temp\tmp27.tmp
- %WINDIR%\Temp\tmp2A.tmp
- %WINDIR%\Temp\tmp2D.tmp
- %WINDIR%\Temp\tmp2C.tmp
- %WINDIR%\Temp\tmp2B.tmp
- %WINDIR%\Temp\tmp26.tmp
- %WINDIR%\Temp\tmp21.tmp
- %WINDIR%\Temp\tmp20.tmp
- %WINDIR%\Temp\tmp1F.tmp
- %WINDIR%\Temp\tmp22.tmp
- %WINDIR%\Temp\tmp25.tmp
- %WINDIR%\Temp\tmp24.tmp
- %WINDIR%\Temp\tmp23.tmp
- %WINDIR%\Temp\tmp2E.tmp
- %WINDIR%\Temp\tmp39.tmp
- %WINDIR%\Temp\tmp38.tmp
- %WINDIR%\Temp\tmp37.tmp
- %WINDIR%\Temp\tmp3A.tmp
- %WINDIR%\Temp\tmp3D.tmp
- %WINDIR%\Temp\tmp3C.tmp
- %WINDIR%\Temp\tmp3B.tmp
- %WINDIR%\Temp\tmp36.tmp
- %WINDIR%\Temp\tmp31.tmp
- %WINDIR%\Temp\tmp30.tmp
- %WINDIR%\Temp\tmp2F.tmp
- %WINDIR%\Temp\tmp32.tmp
- %WINDIR%\Temp\tmp35.tmp
- %WINDIR%\Temp\tmp34.tmp
- %WINDIR%\Temp\tmp33.tmp
- %WINDIR%\Temp\tmp1E.tmp
- %WINDIR%\Temp\tmp9.tmp
- %WINDIR%\Temp\tmp8.tmp
- %WINDIR%\Temp\tmp7.tmp
- %WINDIR%\Temp\tmpA.tmp
- %WINDIR%\Temp\tmpD.tmp
- %WINDIR%\Temp\tmpC.tmp
- %WINDIR%\Temp\tmpB.tmp
- %WINDIR%\Temp\tmp6.tmp
- %TEMP%\tmp1.tmp
- C:\SW_Setup.log
- %TEMP%\2860A0DY.cmd
- %WINDIR%\Temp\tmp2.tmp
- %WINDIR%\Temp\tmp5.tmp
- %WINDIR%\Temp\tmp4.tmp
- %WINDIR%\Temp\tmp3.tmp
- %WINDIR%\Temp\tmpE.tmp
- %WINDIR%\Temp\tmp19.tmp
- %WINDIR%\Temp\tmp18.tmp
- %WINDIR%\Temp\tmp17.tmp
- %WINDIR%\Temp\tmp1A.tmp
- %WINDIR%\Temp\tmp1D.tmp
- %WINDIR%\Temp\tmp1C.tmp
- %WINDIR%\Temp\tmp1B.tmp
- %WINDIR%\Temp\tmp16.tmp
- %WINDIR%\Temp\tmp11.tmp
- %WINDIR%\Temp\tmp10.tmp
- %WINDIR%\Temp\tmpF.tmp
- %WINDIR%\Temp\tmp12.tmp
- %WINDIR%\Temp\tmp15.tmp
- %WINDIR%\Temp\tmp14.tmp
- %WINDIR%\Temp\tmp13.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\2860A0DY.cmd
Удаляет следующие файлы:
- %WINDIR%\Temp\tmp26.tmp
- %WINDIR%\Temp\tmp27.tmp
- %WINDIR%\Temp\tmp24.tmp
- %WINDIR%\Temp\tmp25.tmp
- %WINDIR%\Temp\tmp2A.tmp
- %WINDIR%\Temp\tmp2B.tmp
- %WINDIR%\Temp\tmp28.tmp
- %WINDIR%\Temp\tmp29.tmp
- %WINDIR%\Temp\tmp1E.tmp
- %WINDIR%\Temp\tmp1F.tmp
- %WINDIR%\Temp\tmp1C.tmp
- %WINDIR%\Temp\tmp1D.tmp
- %WINDIR%\Temp\tmp22.tmp
- %WINDIR%\Temp\tmp23.tmp
- %WINDIR%\Temp\tmp20.tmp
- %WINDIR%\Temp\tmp21.tmp
- %WINDIR%\Temp\tmp2C.tmp
- %WINDIR%\Temp\tmp37.tmp
- %WINDIR%\Temp\tmp38.tmp
- %WINDIR%\Temp\tmp35.tmp
- %WINDIR%\Temp\tmp36.tmp
- %WINDIR%\Temp\tmp3B.tmp
- %WINDIR%\Temp\tmp3C.tmp
- %WINDIR%\Temp\tmp39.tmp
- %WINDIR%\Temp\tmp3A.tmp
- %WINDIR%\Temp\tmp2F.tmp
- %WINDIR%\Temp\tmp30.tmp
- %WINDIR%\Temp\tmp2D.tmp
- %WINDIR%\Temp\tmp2E.tmp
- %WINDIR%\Temp\tmp33.tmp
- %WINDIR%\Temp\tmp34.tmp
- %WINDIR%\Temp\tmp31.tmp
- %WINDIR%\Temp\tmp32.tmp
- %WINDIR%\Temp\tmp1B.tmp
- %WINDIR%\Temp\tmp4.tmp
- %WINDIR%\Temp\tmp5.tmp
- %WINDIR%\Temp\tmp2.tmp
- %WINDIR%\Temp\tmp3.tmp
- %WINDIR%\Temp\tmp8.tmp
- %WINDIR%\Temp\tmp9.tmp
- %WINDIR%\Temp\tmp6.tmp
- %WINDIR%\Temp\tmp7.tmp
- <SYSTEM32>\wbem\Repository\FS\INDEX.MAP
- <SYSTEM32>\wbem\Repository\FS\MAPPING.VER
- <SYSTEM32>\wbem\Repository\$WinMgmt.CFG
- <SYSTEM32>\wbem\Repository\FS\INDEX.BTR
- <SYSTEM32>\wbem\Repository\FS\OBJECTS.DATA
- <SYSTEM32>\wbem\Repository\FS\OBJECTS.MAP
- <SYSTEM32>\wbem\Repository\FS\MAPPING1.MAP
- <SYSTEM32>\wbem\Repository\FS\MAPPING2.MAP
- %WINDIR%\Temp\tmpA.tmp
- %WINDIR%\Temp\tmp15.tmp
- %WINDIR%\Temp\tmp16.tmp
- %WINDIR%\Temp\tmp13.tmp
- %WINDIR%\Temp\tmp14.tmp
- %WINDIR%\Temp\tmp19.tmp
- %WINDIR%\Temp\tmp1A.tmp
- %WINDIR%\Temp\tmp17.tmp
- %WINDIR%\Temp\tmp18.tmp
- %WINDIR%\Temp\tmpD.tmp
- %WINDIR%\Temp\tmpE.tmp
- %WINDIR%\Temp\tmpB.tmp
- %WINDIR%\Temp\tmpC.tmp
- %WINDIR%\Temp\tmp11.tmp
- %WINDIR%\Temp\tmp12.tmp
- %WINDIR%\Temp\tmpF.tmp
- %WINDIR%\Temp\tmp10.tmp
