Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe winhelp32.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ServiceHost' = '%WINDIR%\Media\svchost.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Windows Logon' = '%CommonProgramFiles%\System\winlogon.exe'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
- Редактора реестра (RegEdit)
Создает и запускает на исполнение:
- %WINDIR%\winhelp32.exe
Изменяет следующие настройки проводника Windows (Windows Explorer):
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFind' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoRun' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoControlPanel' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFolderOptions' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoSetFolders' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoSetTaskBar' = '00000001'
Изменения в файловой системе:
Создает следующие файлы:
- C:\Documents and Settings\LocalService\Application Data\Application Data.exe
- C:\Documents and Settings\LocalService\Cookies.exe
- C:\Far2\Documentation\eng.exe
- C:\Documents and Settings\LocalService\Application Data.exe
- C:\Far2\Documentation.exe
- C:\Far2\Documentation\Documentation.exe
- C:\Documents and Settings\LocalService\Cookies\Cookies.exe
- C:\Documents and Settings\LocalService\Local Settings\Local Settings.exe
- C:\Far2\Documentation\rus\rus.exe
- C:\Documents and Settings\NetworkService.exe
- C:\Far2\Documentation\eng\eng.exe
- C:\Documents and Settings\LocalService\Local Settings.exe
- C:\Far2\Documentation\rus.exe
- C:\Far2\Addons\SetUp\SetUp.exe
- C:\Documents and Settings\Default User\Start Menu\Start Menu.exe
- C:\Far2\Addons\Shell.exe
- C:\Documents and Settings\Default User\SendTo\SendTo.exe
- C:\Far2\Addons\SetUp.exe
- C:\Documents and Settings\Default User\Start Menu.exe
- C:\Documents and Settings\Default User\Templates.exe
- C:\Far2\Addons\XLat.exe
- C:\Documents and Settings\LocalService\LocalService.exe
- C:\Far2\Addons\XLat\XLat.exe
- C:\Far2\Addons\Shell\Shell.exe
- C:\Documents and Settings\Default User\Templates\Templates.exe
- C:\Documents and Settings\LocalService.exe
- C:\Far2\Encyclopedia.exe
- C:\Far2\Plugins\Align.exe
- %APPDATA%.exe
- C:\Far2\Plugins\Align\Align.exe
- C:\Far2\Plugins\7-Zip\7-Zip.exe
- %HOMEPATH%.exe
- %HOMEPATH%\%USERNAME%.exe
- %APPDATA%\Application Data.exe
- C:\Far2\Plugins\arclite\arclite.exe
- %HOMEPATH%\Desktop.exe
- C:\Far2\Plugins\AutoWrap.exe
- %HOMEPATH%\Cookies.exe
- C:\Far2\Plugins\arclite.exe
- %HOMEPATH%\Cookies\Cookies.exe
- C:\Far2\FExcept.exe
- C:\Documents and Settings\NetworkService\Application Data\Application Data.exe
- C:\Far2\FExcept\FExcept.exe
- C:\Documents and Settings\NetworkService\NetworkService.exe
- C:\Far2\Encyclopedia\Encyclopedia.exe
- C:\Documents and Settings\NetworkService\Application Data.exe
- C:\Documents and Settings\NetworkService\Cookies.exe
- C:\Documents and Settings\NetworkService\Local Settings.exe
- C:\Documents and Settings\NetworkService\Local Settings\Local Settings.exe
- C:\Far2\Plugins\7-Zip.exe
- C:\Far2\Plugins.exe
- C:\Documents and Settings\NetworkService\Cookies\Cookies.exe
- C:\Far2\Plugins\Plugins.exe
- C:\Documents and Settings\Default User\SendTo.exe
- %ALLUSERSPROFILE%\Documents\Documents.exe
- %ALLUSERSPROFILE%\DRM.exe
- %ALLUSERSPROFILE%\DRM\DRM.exe
- %ALLUSERSPROFILE%\Desktop.exe
- %ALLUSERSPROFILE%\Desktop\Desktop.exe
- %ALLUSERSPROFILE%\Documents.exe
- %ALLUSERSPROFILE%\Favorites.exe
- %ALLUSERSPROFILE%\Templates.exe
- %ALLUSERSPROFILE%\Templates\Templates.exe
- C:\Documents and Settings\Default User.exe
- %ALLUSERSPROFILE%\Favorites\Favorites.exe
- %ALLUSERSPROFILE%\Start Menu.exe
- %ALLUSERSPROFILE%\Start Menu\Start Menu.exe
- %WINDIR%\winhelp32.exe
- C:\autorun.inf
- <Текущая директория>.exe
- %CommonProgramFiles%\System\winlogon.exe
- %WINDIR%\Media\svchost.exe
- <Текущая директория>\af32d3b0.exe
- %ALLUSERSPROFILE%\All Users.exe
- %ALLUSERSPROFILE%\Application Data.exe
- %ALLUSERSPROFILE%\Application Data\Application Data.exe
- C:\Documents and Settings.exe
- C:\Documents and Settings\Documents and Settings.exe
- %ALLUSERSPROFILE%.exe
- C:\Documents and Settings\Default User\Default User.exe
- C:\Far2\Addons.exe
- C:\Far2\Addons\Addons.exe
- C:\Documents and Settings\Default User\PrintHood.exe
- C:\Far2\Far2.exe
- C:\Documents and Settings\Default User\NetHood.exe
- C:\Documents and Settings\Default User\NetHood\NetHood.exe
- C:\Documents and Settings\Default User\PrintHood\PrintHood.exe
- C:\Documents and Settings\Default User\Recent\Recent.exe
- C:\Far2\Addons\Macros.exe
- C:\Far2\Addons\Macros\Macros.exe
- C:\Far2\Addons\Colors.exe
- C:\Far2\Addons\Colors\Colors.exe
- C:\Documents and Settings\Default User\Recent.exe
- C:\Documents and Settings\Default User\Cookies\Cookies.exe
- C:\Documents and Settings\Default User\Desktop.exe
- C:\Documents and Settings\Default User\Desktop\Desktop.exe
- C:\Documents and Settings\Default User\Application Data.exe
- C:\Documents and Settings\Default User\Application Data\Application Data.exe
- C:\Documents and Settings\Default User\Cookies.exe
- C:\Documents and Settings\Default User\Favorites.exe
- C:\Documents and Settings\Default User\My Documents.exe
- C:\Far2.exe
- C:\Documents and Settings\Default User\My Documents\My Documents.exe
- C:\Documents and Settings\Default User\Favorites\Favorites.exe
- C:\Documents and Settings\Default User\Local Settings.exe
- C:\Documents and Settings\Default User\Local Settings\Local Settings.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\winhelp32.exe
- C:\autorun.inf
- %CommonProgramFiles%\System\winlogon.exe
- %WINDIR%\Media\svchost.exe
Удаляет следующие файлы:
- %TEMP%\~DF597C.tmp
- <SYSTEM32>\ciadv.msc
- <SYSTEM32>\certmgr.msc
