Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\HDZfile\shell\open\command] '' = '%TEMP%\HDSSPortable\HDSentinel.exe "%1"'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\HDSSPortable\109commandlib.dll
- %TEMP%\HDSSPortable\Status.icd
- %TEMP%\HDSSPortable\Start.cmd
- %TEMP%\HDSSPortable\ssleay32.dll
- %TEMP%\HDSSPortable\rupro.lng
- %TEMP%\HDSSPortable\ru.lng
- %TEMP%\HDSSPortable\ru.chm
- %TEMP%\HDSSPortable\removehds7.vbs
- %TEMP%\HDSSPortable\pri2plgnnapa.dll
- %TEMP%\HDSSPortable\prerrlog.dll
- %TEMP%\HDSSPortable\prdecode.dll
- %TEMP%\HDSSPortable\mv_api.dll
- %TEMP%\HDSSPortable\libxml2.dll
- %TEMP%\HDSSPortable\libeay32.dll
- %TEMP%\HDSSPortable\KillDuplicate.cmd
- %TEMP%\HDSSPortable\infomgr.dll
- %TEMP%\HDSSPortable\hdsversion.txt
- %TEMP%\HDSSPortable\hds_eula_en.txt
- %TEMP%\HDSSPortable\Statusb.icd
- %TEMP%\HDSSPortable\Statusg.icd
- %TEMP%\HDSSPortable\winspool.drv
- %TEMP%\HDSSPortable\Vista_Statusw.icd
- %TEMP%\HDSSPortable\Vista_Statusn.icd
- %TEMP%\HDSSPortable\Vista_Statusg.icd
- %TEMP%\HDSSPortable\Vista_Statusb.icd
- %TEMP%\HDSSPortable\Vista_Status.icd
- %TEMP%\HDSSPortable\storelibir.dll
- %TEMP%\HDSSPortable\storelib2.dlz
- %TEMP%\HDSSPortable\HDSAction.exe
- %TEMP%\HDSSPortable\storelib.dll
- %TEMP%\HDSSPortable\storectrl.dll
- %TEMP%\HDSSPortable\storarc.dll
- %TEMP%\HDSSPortable\Storagetest.dll
- %TEMP%\HDSSPortable\Stop.cmd
- %TEMP%\HDSSPortable\Statusw.icd
- %TEMP%\HDSSPortable\Statusn.icd
- %TEMP%\HDSSPortable\HDsirena.mp3
- %TEMP%\HDSSPortable\hdsevtmsg.dll
- %TEMP%\HDSSPortable\HDSentinelTray.exe
- %TEMP%\HDSSPortable\detpex.dlz
- %TEMP%\HDSSPortable\detp.dll
- %TEMP%\HDSSPortable\detmv.dll
- %TEMP%\HDSSPortable\detjm2.dll
- %TEMP%\HDSSPortable\detjm.dll
- %TEMP%\HDSSPortable\dethp2.dll
- %TEMP%\HDSSPortable\dethp.dll
- %TEMP%\HDSSPortable\detect.dll
- %TEMP%\HDSSPortable\detect.dat
- %TEMP%\HDSSPortable\detat.dll
- %TEMP%\HDSSPortable\deta1.dll
- %TEMP%\HDSSPortable\deta.dll
- %TEMP%\HDSSPortable\bc_vbdll.dll
- %TEMP%\HDSSPortable\afaapi.dll
- %TEMP%\HDSSPortable\detrd.dll
- %TEMP%\HDSSPortable\detrd64.dll
- %TEMP%\HDSSPortable\detrc.dll
- %TEMP%\HDSSPortable\detw.dll
- %TEMP%\HDSSPortable\hdsentinel.vsx
- %TEMP%\HDSSPortable\detw64.dll
- %TEMP%\HDSSPortable\hdsentinel.vsh
- %TEMP%\HDSSPortable\HDSentinel.sys
- %TEMP%\HDSSPortable\HDSentinel.rdi
- %TEMP%\HDSSPortable\HDSentinel.exe
- %TEMP%\HDSSPortable\HDSData\reg.dat
- %TEMP%\HDSSPortable\HDSData\HDSentinel.ini
- %TEMP%\HDSSPortable\storelibir-2.dll
- %TEMP%\HDSSPortable\HDSData\log.txt
- %TEMP%\HDSSPortable\HDnotify.wav
- %TEMP%\HDSSPortable\hdd.jpg
- %TEMP%\HDSSPortable\harddisksentinelupdate.exe
- %TEMP%\HDSSPortable\fnp_act_installer.dll
- %TEMP%\HDSSPortable\enpro.lng
- %TEMP%\HDSSPortable\en.lng
- %TEMP%\HDSSPortable\en.chm
- %TEMP%\HDSSPortable\HDSCtrl.exe
- %TEMP%\180801170146203.39776966.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\HDSSPortable\KillDuplicate.cmd
Другое:
Ищет следующие окна:
- ClassName: 'Progman' WindowName: ''
- ClassName: 'MS_WINHELP' WindowName: ''
Создает и запускает на исполнение:
- '%TEMP%\HDSSPortable\HDSentinel.exe'
- '%TEMP%\HDSSPortable\detect.dll' *WMIC2* . "%TEMP%\180801170146203.39776966.tmp" SELECT Index,PNPDeviceID FROM Win32_DiskDrive
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\HDSSPortable\KillDuplicate.cmd" "%TEMP%\HDSSPortable" "<Имя файла>.exe""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\HDSSPortable\Start.cmd" "
- '<SYSTEM32>\reg.exe' QUERY "HKLM\SOFTWARE\Classes\.HDZ"
- '<SYSTEM32>\reg.exe' QUERY "HKLM\SOFTWARE\Classes\HDZfile"
