Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\windowslock.exe.lnk
Изменяет следующие исполняемые системные файлы
- %WINDIR%\syswow64\d3dcompiler_43.dll
- %WINDIR%\syswow64\d3dx9_43.dll
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /IM "explorer.exe"
- '%WINDIR%\syswow64\taskkill.exe' /F /IM System Idle Process
- '%WINDIR%\syswow64\taskkill.exe' /F /IM System
- '%WINDIR%\syswow64\taskkill.exe' /F /IM
- '%WINDIR%\syswow64\taskkill.exe' /F /IM spoolsv.exe
- '%WINDIR%\syswow64\taskkill.exe' /F /IM mdm.exe
- '%WINDIR%\syswow64\taskkill.exe' /F /IM WUDFHost.exe
- '%WINDIR%\syswow64\taskkill.exe' /F /IM iexplore.exe
- '%WINDIR%\syswow64\taskkill.exe' /F /IM firefox.exe
- '%WINDIR%\syswow64\taskkill.exe' /F /IM OSPPSVC.EXE
- '%WINDIR%\syswow64\taskkill.exe' /F /IM WmiPrvSE.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\explorer.exe
- <SYSTEM32>\spoolsv.exe
- <SYSTEM32>\wudfhost.exe
следующие пользовательские процессы:
- iexplore.exe
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\syswow64\windowsphone.exe
- %WINDIR%\syswow64\locales\it.pak
- %WINDIR%\syswow64\locales\ja.pak
- %WINDIR%\syswow64\locales\kn.pak
- %WINDIR%\syswow64\locales\ko.pak
- %WINDIR%\syswow64\locales\lt.pak
- %WINDIR%\syswow64\locales\lv.pak
- %WINDIR%\syswow64\locales\ml.pak
- %WINDIR%\syswow64\locales\mr.pak
- %WINDIR%\syswow64\locales\nb.pak
- %WINDIR%\syswow64\locales\nl.pak
- %WINDIR%\syswow64\locales\pl.pak
- %WINDIR%\syswow64\locales\pt-br.pak
- %WINDIR%\syswow64\locales\pt-pt.pak
- %WINDIR%\syswow64\chrome.pak
- %WINDIR%\syswow64\locales\ro.pak
- %WINDIR%\syswow64\locales\sk.pak
- %WINDIR%\syswow64\locales\sl.pak
- %WINDIR%\syswow64\locales\sr.pak
- %WINDIR%\syswow64\locales\sv.pak
- %WINDIR%\syswow64\locales\sw.pak
- %WINDIR%\syswow64\locales\ta.pak
- %WINDIR%\syswow64\locales\te.pak
- %WINDIR%\syswow64\locales\th.pak
- %WINDIR%\syswow64\locales\tr.pak
- %WINDIR%\syswow64\locales\uk.pak
- %WINDIR%\syswow64\locales\vi.pak
- %WINDIR%\syswow64\locales\zh-cn.pak
- %WINDIR%\syswow64\locales\zh-tw.pak
- %WINDIR%\syswow64\locales\hu.pak
- %WINDIR%\syswow64\locales\id.pak
- %WINDIR%\syswow64\locales\hr.pak
- %WINDIR%\syswow64\locales\hi.pak
- %WINDIR%\syswow64\locales\he.pak
- %WINDIR%\syswow64\windowslock.exe
- %WINDIR%\syswow64\avcodec-53.dll
- %WINDIR%\syswow64\avformat-53.dll
- %WINDIR%\syswow64\avutil-51.dll
- %WINDIR%\syswow64\icudt.dll
- %WINDIR%\syswow64\libcef.dll
- %WINDIR%\syswow64\libegl.dll
- %WINDIR%\syswow64\libglesv2.dll
- %WINDIR%\syswow64\php5ts.dll
- %WINDIR%\syswow64\locales\am.pak
- %WINDIR%\syswow64\locales\ar.pak
- %WINDIR%\syswow64\locales\bg.pak
- %WINDIR%\syswow64\locales\bn.pak
- %WINDIR%\syswow64\unlockds.reg
- %WINDIR%\syswow64\locales\ru.pak
- %WINDIR%\syswow64\locales\ca.pak
- %WINDIR%\syswow64\locales\da.pak
- %WINDIR%\syswow64\locales\de.pak
- %WINDIR%\syswow64\locales\el.pak
- %WINDIR%\syswow64\locales\en-gb.pak
- %WINDIR%\syswow64\locales\en-us.pak
- %WINDIR%\syswow64\locales\es-419.pak
- %WINDIR%\syswow64\locales\es.pak
- %WINDIR%\syswow64\locales\et.pak
- %WINDIR%\syswow64\locales\fa.pak
- %WINDIR%\syswow64\locales\fi.pak
- %WINDIR%\syswow64\locales\fil.pak
- %WINDIR%\syswow64\locales\fr.pak
- %WINDIR%\syswow64\locales\gu.pak
- %WINDIR%\syswow64\runws.bat
- %WINDIR%\syswow64\locales\cs.pak
- %TEMP%\pse20\8c24e2063444d183297d461525a42588\php.ini
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\windowsphone.exe' -p123 -d<SYSTEM32>
- '%WINDIR%\syswow64\windowslock.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""<SYSTEM32>\RunWS.bat" "
- '%WINDIR%\syswow64\cmd.exe' /c "TASKKILL /F /IM "explorer.exe""
- '%WINDIR%\syswow64\cmd.exe' /c "TASKKILL /F /IM System Idle Process"
- '%WINDIR%\syswow64\cmd.exe' /c "TASKKILL /F /IM System"
- '%WINDIR%\syswow64\cmd.exe' /c "TASKKILL /F /IM "
- '%WINDIR%\syswow64\cmd.exe' /c "TASKKILL /F /IM spoolsv.exe"
- '%WINDIR%\syswow64\cmd.exe' /c "TASKKILL /F /IM mdm.exe"
- '%WINDIR%\syswow64\cmd.exe' /c "TASKKILL /F /IM WUDFHost.exe"
- '%WINDIR%\syswow64\cmd.exe' /c "TASKKILL /F /IM iexplore.exe"
- '%WINDIR%\syswow64\cmd.exe' /c "TASKKILL /F /IM firefox.exe"
- '%WINDIR%\syswow64\cmd.exe' /c "TASKKILL /F /IM OSPPSVC.EXE"
- '%WINDIR%\syswow64\cmd.exe' /c "TASKKILL /F /IM WmiPrvSE.exe"
- '<SYSTEM32>\spoolsv.exe'
