Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'wextract_cleanup0' = 'rundll32.exe <SYSTEM32>\advpack.dll,DelNodeRunDLL32 "%TEMP%\IXP000.TMP\"'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RarSFX0\avto_vpn.exe
- %TEMP%\RarSFX0\ztXPx64.exe
- %TEMP%\RarSFX0\ztXPx32.exe
- %TEMP%\2881.bat
- %TEMP%\IXP000.TMP\advpack.dll
- %TEMP%\IXP000.TMP\cmstp.exe
- %TEMP%\IXP000.TMP\instcm.inf
- %TEMP%\IXP000.TMP\cmbins.exe
- %TEMP%\IXP000.TMP\cmexcept.cat
- %TEMP%\IXP000.TMP\ztXPx32.inf
- %TEMP%\IXP000.TMP\ztXPx32.cmp
- %TEMP%\IXP000.TMP\ztXPx32.cms
- %TEMP%\IXP000.TMP\logo1.bmp
- %TEMP%\IXP000.TMP\logo1.ico
- %TEMP%\IXP000.TMP\favicon.ico
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\2881.bat
Другое:
Ищет следующие окна:
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение:
- '%TEMP%\RarSFX0\avto_vpn.exe'
- '%TEMP%\RarSFX0\ztXPx32.exe' /q
- '%TEMP%\IXP000.TMP\cmstp.exe' ztXPx32.inf
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\2881.bat" "%TEMP%\RarSFX0\avto_vpn.exe" "
- '<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Rasman\Parameters" /v ProhibitIpSec /t REG_DWORD /d "00000001" /f
- '<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules" /v RRAS-L2TP-In-UDP /f /t REG_SZ /d "v2.10|Action=Allow|Active=TRUE|Dir=In|Protocol=17|LPort=17...
- '<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules" /v RRAS-L2TP-Out-UDP /f /t REG_SZ /d "v2.10|Action=Allow|Active=FALSE|Dir=Out|Protocol=17|RPort...
