Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000001] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,73,79,73,74,65,6d,33,32,5c...
- [<HKLM>\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000002] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,73,79,73,74,65,6d,33,32,5c...
- [<HKLM>\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000003] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,73,79,73,74,65,6d,33,32,5c...
- [<HKLM>\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000008] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,73,79,73,74,65,6d,33,32,5c...
- [<HKLM>\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000010] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,73,79,73,74,65,6d,33,32,5c...
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\Г—Гóä³é²æ°½¿ç\äë·¿ã²°ãèô.ink
- %WINDIR%\syswow64\1.dll
- %WINDIR%\syswow64\espi11.dll
- C:\dbghelp.dll
Присваивает атрибут 'скрытый' для следующих файлов
- <Текущая директория>\Г—Гóä³é²æ°½¿ç\äë·¿ã²°ãèô.lnk
Удаляет следующие файлы
- %WINDIR%\syswow64\1.dll
Перемещает следующие файлы
- <Текущая директория>\Г—Гóä³é²æ°½¿ç\äë·¿ã²°ãèô.ink в <Текущая директория>\Г—Гóä³é²æ°½¿ç\äë·¿ã²°ãèô.lnk
Самоперемещается
- из <Полный путь к файлу> в %TEMP%\1047484\....\temporaryfile
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cacls.exe' \crossfire.exe /e /p administrators Users:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \TGuard\TerSafe.dll /e /p Users:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \TGuard\TerSafe.dll /e /p Administrator:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \TGuard\TerSafe.dll /e /p Everyone:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \TCLS\TenProtect\TP\TPHelper\TenProtect\TerSafe.dll /e /p administrators Users:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \TCLS\TenProtect\TP\TPHelper\TenProtect\TerSafe.dll /e /p SYSTEM:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \TGuard\TerSafe.dll /e /p SYSTEM:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \TGuard\TerSafe.dll /e /p administrators:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \TCLS\TenProtect\TP\TPHelper\TenProtect\TerSafe.dll /e /p administrators:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \TCLS\TenProtect\TP\TPHelper\TenProtect\TerSafe.dll /e /p Everyone:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \TCLS\TenProtect\TP\TPHelper\TerSafe.dll /e /p administrators Users:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \TCLS\TenProtect\TP\TPHelper\TerSafe.dll /e /p SYSTEM:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \TCLS\TenProtect\TP\TPHelper\TerSafe.dll /e /p administrators:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \TCLS\TenProtect\TP\TPHelper\TerSafe.dll /e /p Users:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \TCLS\TenProtect\TP\TPHelper\TenProtect\TerSafe.dll /e /p Users:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \TCLS\TenProtect\TP\TPHelper\TenProtect\TerSafe.dll /e /p Administrator:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \TGuard\TerSafe.dll /e /p administrators Users:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \TerSafe.dll /e /p Everyone:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \TerSafe.dll /e /p Administrator:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \crossfire.exe /e /p administrators:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \crossfire.exe /e /p Users:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \crossfire.exe /e /p Administrator:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \crossfire.exe /e /p Everyone:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \awesomium_process.exe /e /p administrators Users:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \awesomium_process.exe /e /p SYSTEM:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \crossfire.exe /e /p SYSTEM:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \awesomium_process.exe /e /p administrators:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \awesomium_process.exe /e /p Administrator:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \awesomium_process.exe /e /p Everyone:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \TerSafe.dll /e /p administrators Users:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \TerSafe.dll /e /p SYSTEM:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \TerSafe.dll /e /p administrators:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \TerSafe.dll /e /p Users:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \awesomium_process.exe /e /p Users:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \TCLS\TenProtect\TP\TPHelper\TerSafe.dll /e /p Administrator:F' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' \TCLS\TenProtect\TP\TPHelper\TerSafe.dll /e /p Everyone:F' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cacls.exe' \crossfire.exe /e /p administrators Users:F
- '%WINDIR%\syswow64\cacls.exe' \TGuard\TerSafe.dll /e /p Users:F
- '%WINDIR%\syswow64\cacls.exe' \TGuard\TerSafe.dll /e /p Administrator:F
- '%WINDIR%\syswow64\cacls.exe' \TGuard\TerSafe.dll /e /p Everyone:F
- '%WINDIR%\syswow64\cacls.exe' \TCLS\TenProtect\TP\TPHelper\TenProtect\TerSafe.dll /e /p administrators Users:F
- '%WINDIR%\syswow64\cacls.exe' \TCLS\TenProtect\TP\TPHelper\TenProtect\TerSafe.dll /e /p SYSTEM:F
- '%WINDIR%\syswow64\cacls.exe' \TGuard\TerSafe.dll /e /p SYSTEM:F
- '%WINDIR%\syswow64\cacls.exe' \TGuard\TerSafe.dll /e /p administrators:F
- '%WINDIR%\syswow64\cacls.exe' \TCLS\TenProtect\TP\TPHelper\TenProtect\TerSafe.dll /e /p administrators:F
- '%WINDIR%\syswow64\cacls.exe' \TCLS\TenProtect\TP\TPHelper\TenProtect\TerSafe.dll /e /p Everyone:F
- '%WINDIR%\syswow64\cacls.exe' \TCLS\TenProtect\TP\TPHelper\TerSafe.dll /e /p administrators Users:F
- '%WINDIR%\syswow64\cacls.exe' \TCLS\TenProtect\TP\TPHelper\TerSafe.dll /e /p SYSTEM:F
- '%WINDIR%\syswow64\cacls.exe' \TCLS\TenProtect\TP\TPHelper\TerSafe.dll /e /p administrators:F
- '%WINDIR%\syswow64\cacls.exe' \TCLS\TenProtect\TP\TPHelper\TerSafe.dll /e /p Users:F
- '%WINDIR%\syswow64\cacls.exe' \TCLS\TenProtect\TP\TPHelper\TenProtect\TerSafe.dll /e /p Users:F
- '%WINDIR%\syswow64\cacls.exe' \TCLS\TenProtect\TP\TPHelper\TenProtect\TerSafe.dll /e /p Administrator:F
- '%WINDIR%\syswow64\cacls.exe' \TGuard\TerSafe.dll /e /p administrators Users:F
- '%WINDIR%\syswow64\cacls.exe' \TerSafe.dll /e /p Everyone:F
- '%WINDIR%\syswow64\cacls.exe' \TerSafe.dll /e /p Administrator:F
- '%WINDIR%\syswow64\cacls.exe' \crossfire.exe /e /p administrators:F
- '%WINDIR%\syswow64\cacls.exe' \crossfire.exe /e /p Users:F
- '%WINDIR%\syswow64\cacls.exe' \crossfire.exe /e /p Administrator:F
- '%WINDIR%\syswow64\cacls.exe' \crossfire.exe /e /p Everyone:F
- '%WINDIR%\syswow64\cacls.exe' \awesomium_process.exe /e /p administrators Users:F
- '%WINDIR%\syswow64\cacls.exe' \awesomium_process.exe /e /p SYSTEM:F
- '%WINDIR%\syswow64\cacls.exe' \crossfire.exe /e /p SYSTEM:F
- '%WINDIR%\syswow64\cacls.exe' \awesomium_process.exe /e /p administrators:F
- '%WINDIR%\syswow64\cacls.exe' \awesomium_process.exe /e /p Administrator:F
- '%WINDIR%\syswow64\cacls.exe' \awesomium_process.exe /e /p Everyone:F
- '%WINDIR%\syswow64\cacls.exe' \TerSafe.dll /e /p administrators Users:F
- '%WINDIR%\syswow64\cacls.exe' \TerSafe.dll /e /p SYSTEM:F
- '%WINDIR%\syswow64\cacls.exe' \TerSafe.dll /e /p administrators:F
- '%WINDIR%\syswow64\cacls.exe' \TerSafe.dll /e /p Users:F
- '%WINDIR%\syswow64\cacls.exe' \awesomium_process.exe /e /p Users:F
- '%WINDIR%\syswow64\cacls.exe' \TCLS\TenProtect\TP\TPHelper\TerSafe.dll /e /p Administrator:F
- '%WINDIR%\syswow64\cacls.exe' \TCLS\TenProtect\TP\TPHelper\TerSafe.dll /e /p Everyone:F
