Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Realtek HD Audio' = '%PROGRAMDATA%\RealtekHD\taskhostw.exe'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\aut2869.tmp
- %PROGRAMDATA%\windowstask\winlogon.exe
- %PROGRAMDATA%\windowstask\10
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- <LS_APPDATA>\microsoft\windows\history\low\desktop.ini
- <LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\lt3xxrmc\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\kjrepm2g\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\0vretydg\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\41a7tdnq\desktop.ini
- %APPDATA%\microsoft\windows\cookies\low\index.dat
- <LS_APPDATA>\microsoft\windows\history\low\history.ie5\index.dat
Присваивает атрибут 'скрытый' для следующих файлов
- %PROGRAMDATA%\windowstask\winlogon.exe
- %PROGRAMDATA%\windowstask\10
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\lt3xxrmc\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\kjrepm2g\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\0vretydg\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\41a7tdnq\desktop.ini
- <LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
- <LS_APPDATA>\microsoft\windows\history\low\desktop.ini
Удаляет следующие файлы
- %TEMP%\aut2869.tmp
- <SYSTEM32>\tasks\adobe acrobat update task
- %WINDIR%\tasks\adobe flash player updater.job
- <SYSTEM32>\tasks\adobe flash player updater
- <SYSTEM32>\tasks\officesoftwareprotectionplatform\svcrestarttask
Подменяет следующие файлы
- %PROGRAMDATA%\ntuser.pol
- %HOMEPATH%\ntuser.pol
Сетевая активность
UDP
- DNS ASK so###uny.com
Другое
Создает и запускает на исполнение
- '%PROGRAMDATA%\windowstask\winlogon.exe'
- '%WINDIR%\syswow64\cmd.exe' /C schtasks /query /fo list' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ipconfig /flushdns' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c gpupdate /force' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C schtasks /Delete /TN "Adobe Acrobat Update Task" /F' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C schtasks /Delete /TN "Adobe Flash Player Updater" /F' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C schtasks /Delete /TN "OfficeSoftwareProtectionPlatform\SvcRestartTask" /F' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C schtasks /query /fo list
- '%WINDIR%\syswow64\schtasks.exe' /query /fo list
- '<SYSTEM32>\cmd.exe' /c ipconfig /flushdns
- '<SYSTEM32>\ipconfig.exe' /flushdns
- '<SYSTEM32>\cmd.exe' /c gpupdate /force
- '<SYSTEM32>\gpupdate.exe' /force
- '<SYSTEM32>\rundll32.exe' "<SYSTEM32>\WININET.dll",DispatchAPICall 1
- '%WINDIR%\syswow64\cmd.exe' /C schtasks /Delete /TN "Adobe Acrobat Update Task" /F
- '%WINDIR%\syswow64\cmd.exe' /C schtasks /Delete /TN "Adobe Flash Player Updater" /F
- '%WINDIR%\syswow64\cmd.exe' /C schtasks /Delete /TN "OfficeSoftwareProtectionPlatform\SvcRestartTask" /F
- '%WINDIR%\syswow64\schtasks.exe' /Delete /TN "Adobe Acrobat Update Task" /F
- '%WINDIR%\syswow64\schtasks.exe' /Delete /TN "Adobe Flash Player Updater" /F
- '%WINDIR%\syswow64\schtasks.exe' /Delete /TN "OfficeSoftwareProtectionPlatform\SvcRestartTask" /F
- '<SYSTEM32>\gpscript.exe' /RefreshSystemParam
- '<SYSTEM32>\raserver.exe' /offerraupdate
