Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'mlkifd' = '%APPDATA%\nini.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\client.exe
- <SYSTEM32>\tasks\client
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\nini.exe
- %TEMP%\iozme0c5.0.vb
- %TEMP%\iozme0c5.cmdline
- %TEMP%\iozme0c5.out
- %TEMP%\vbcb06d3164f5da407184e07c625ae97652.tmp
- %TEMP%\vbccc0504fe18b44200b9abf8e776b3c20.tmp
- %TEMP%\res1913.tmp
- %APPDATA%\mlk.exe
- %TEMP%\uwzswnw2.0.vb
- %TEMP%\uwzswnw2.cmdline
- %TEMP%\uwzswnw2.out
- %TEMP%\vbc45c08193bda4aa68f1dd4f1792bc99.tmp
- %TEMP%\vbce429b46340e5449ba119722a2c2a87b3.tmp
Удаляет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\client.exe
- %TEMP%\res1913.tmp
- %TEMP%\vbccc0504fe18b44200b9abf8e776b3c20.tmp
- %TEMP%\vbcb06d3164f5da407184e07c625ae97652.tmp
- %TEMP%\iozme0c5.out
- %TEMP%\iozme0c5.cmdline
- %TEMP%\iozme0c5.0.vb
- %TEMP%\vbce429b46340e5449ba119722a2c2a87b3.tmp
- %TEMP%\vbc45c08193bda4aa68f1dd4f1792bc99.tmp
- %TEMP%\uwzswnw2.cmdline
- %TEMP%\uwzswnw2.out
- %TEMP%\uwzswnw2.0.vb
Перемещает следующие файлы
- %APPDATA%\microsoft\internet explorer\quick launch\user pinned\taskbar\google chrome.lnk в %APPDATA%\random\google chrome.lnk
- %HOMEPATH%\desktop\mail.ru agent.lnk в %APPDATA%\random\default\mail.ru agent.lnk
- %HOMEPATH%\desktop\icq.lnk в %APPDATA%\random\default\icq.lnk
- %APPDATA%\microsoft\internet explorer\quick launch\window switcher.lnk в %APPDATA%\random\optional\window switcher.lnk
- %APPDATA%\microsoft\internet explorer\quick launch\winamp.lnk в %APPDATA%\random\optional\winamp.lnk
- %APPDATA%\microsoft\internet explorer\quick launch\shows desktop.lnk в %APPDATA%\random\optional\shows desktop.lnk
- %APPDATA%\microsoft\internet explorer\quick launch\qip 2012.lnk в %APPDATA%\random\optional\qip 2012.lnk
- %APPDATA%\microsoft\internet explorer\quick launch\mozilla thunderbird.lnk в %APPDATA%\random\optional\mozilla thunderbird.lnk
- %APPDATA%\microsoft\internet explorer\quick launch\mail.ru agent.lnk в %APPDATA%\random\optional\mail.ru agent.lnk
- %APPDATA%\microsoft\internet explorer\quick launch\launch internet explorer browser.lnk в %APPDATA%\random\optional\launch internet explorer browser.lnk
- %APPDATA%\microsoft\internet explorer\quick launch\icq.lnk в %APPDATA%\random\optional\icq.lnk
- %APPDATA%\microsoft\internet explorer\quick launch\google chrome.lnk в %APPDATA%\random\optional\google chrome.lnk
- %APPDATA%\microsoft\internet explorer\quick launch\user pinned\taskbar\windows media player.lnk в %APPDATA%\random\windows media player.lnk
- %APPDATA%\microsoft\internet explorer\quick launch\user pinned\taskbar\windows explorer.lnk в %APPDATA%\random\windows explorer.lnk
- %APPDATA%\microsoft\internet explorer\quick launch\user pinned\taskbar\opera.lnk в %APPDATA%\random\opera.lnk
- %APPDATA%\microsoft\internet explorer\quick launch\user pinned\taskbar\mail.ru agent.lnk в %APPDATA%\random\mail.ru agent.lnk
- %APPDATA%\microsoft\internet explorer\quick launch\user pinned\taskbar\internet explorer.lnk в %APPDATA%\random\internet explorer.lnk
- %APPDATA%\microsoft\internet explorer\quick launch\user pinned\taskbar\icq.lnk в %APPDATA%\random\icq.lnk
- %HOMEPATH%\desktop\qip 2012.lnk в %APPDATA%\random\default\qip 2012.lnk
- %HOMEPATH%\desktop\telegram.lnk в %APPDATA%\random\default\telegram.lnk
Подменяет следующие файлы
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk
Сетевая активность
Подключается к
- '88.##6.26.45':6598
Другое
Создает и запускает на исполнение
- '%APPDATA%\nini.exe'
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\n41jtvan.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5428.tmp" "%TEMP%\vbc978EFFF21D304E938CB47D537698137F.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\55tomunz.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES567A.tmp" "%TEMP%\vbc64ED1402DFC44AC6909FC817C216F52E.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\5popmocg.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES585E.tmp" "%TEMP%\vbcAD64E7E024246C0BCD6BCD7561143CB.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\frgx4bnf.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5188.tmp" "%TEMP%\vbc6EC7E0E3502645C0A32EE454A5AFDF78.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\mqx2glur.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5C46.tmp" "%TEMP%\vbcDF68FA53C5544C4387A62380A9775BD.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\scrsjn23.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5ED6.tmp" "%TEMP%\vbc17EDAD9DC7084DD0A385A14CC8C1BE4B.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\rkv3vd0y.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES60AB.tmp" "%TEMP%\vbcF1C519130F34ED2AA3B9A6B162CAE83.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\mvehmeck.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5A52.tmp" "%TEMP%\vbcACAA6B4B2BA4A11AE79CA48F39086.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\mhxqiuwt.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4FA4.tmp" "%TEMP%\vbc640B528AF3C4469291409B20F16DFC8E.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\aw2a3d3s.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4DB0.tmp" "%TEMP%\vbc609FA912B4F34F6080A4E88F783D659C.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1913.tmp" "%TEMP%\vbcCC0504FE18B44200B9ABF8E776B3C20.TMP"' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /create /sc minute /mo 1 /tn "Client" /tr "%APPDATA%\nini.exe"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\uwzswnw2.cmdline"' (со скрытым окном)
- '%APPDATA%\nini.exe' ' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES22A8.tmp" "%TEMP%\vbcE429B46340E5449BA119722A2C2A87B3.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\ouukbpi3.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3E4E.tmp" "%TEMP%\vbcBAE21DBD3A7244259987F0676C73BCE9.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\iozme0c5.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\0x5rhv1e.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\dndsdbdc.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4505.tmp" "%TEMP%\vbcAA5DB499766D4E4C9265B65EA749B90.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\t1qe1ud4.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4A35.tmp" "%TEMP%\vbc25020244A56F417E9AA93327D1AC5357.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\3htixs5g.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4BEA.tmp" "%TEMP%\vbc3CDC0F89D5F143FC80E428B9E9245F99.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\uiuz1q0z.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4330.tmp" "%TEMP%\vbc831B07A25B3E463BBD2E253916BABE7.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6270.tmp" "%TEMP%\vbc549AC449E954EF09937A8280E3C3E1.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\4lw2somq.cmdline"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\iozme0c5.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5188.tmp" "%TEMP%\vbc6EC7E0E3502645C0A32EE454A5AFDF78.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\n41jtvan.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5428.tmp" "%TEMP%\vbc978EFFF21D304E938CB47D537698137F.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\55tomunz.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES567A.tmp" "%TEMP%\vbc64ED1402DFC44AC6909FC817C216F52E.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\5popmocg.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES585E.tmp" "%TEMP%\vbcAD64E7E024246C0BCD6BCD7561143CB.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5A52.tmp" "%TEMP%\vbcACAA6B4B2BA4A11AE79CA48F39086.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6270.tmp" "%TEMP%\vbc549AC449E954EF09937A8280E3C3E1.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\mhxqiuwt.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5C46.tmp" "%TEMP%\vbcDF68FA53C5544C4387A62380A9775BD.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\scrsjn23.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5ED6.tmp" "%TEMP%\vbc17EDAD9DC7084DD0A385A14CC8C1BE4B.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\rkv3vd0y.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES60AB.tmp" "%TEMP%\vbcF1C519130F34ED2AA3B9A6B162CAE83.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\mvehmeck.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\frgx4bnf.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\mqx2glur.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4FA4.tmp" "%TEMP%\vbc640B528AF3C4469291409B20F16DFC8E.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\0x5rhv1e.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1913.tmp" "%TEMP%\vbcCC0504FE18B44200B9ABF8E776B3C20.TMP"
- '%WINDIR%\syswow64\schtasks.exe' /create /sc minute /mo 1 /tn "Client" /tr "%APPDATA%\nini.exe"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\uwzswnw2.cmdline"
- '<SYSTEM32>\taskeng.exe' {D2FB4A95-039B-429C-A1E9-3D2C509CA2D7} S-1-5-21-1960123792-2022915161-3775307078-1001:vpsyobtzbkq\user:Interactive:[1]
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES22A8.tmp" "%TEMP%\vbcE429B46340E5449BA119722A2C2A87B3.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\ouukbpi3.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3E4E.tmp" "%TEMP%\vbcBAE21DBD3A7244259987F0676C73BCE9.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4330.tmp" "%TEMP%\vbc831B07A25B3E463BBD2E253916BABE7.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4DB0.tmp" "%TEMP%\vbc609FA912B4F34F6080A4E88F783D659C.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\dndsdbdc.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4505.tmp" "%TEMP%\vbcAA5DB499766D4E4C9265B65EA749B90.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\t1qe1ud4.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4A35.tmp" "%TEMP%\vbc25020244A56F417E9AA93327D1AC5357.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\3htixs5g.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4BEA.tmp" "%TEMP%\vbc3CDC0F89D5F143FC80E428B9E9245F99.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\uiuz1q0z.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\aw2a3d3s.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\4lw2somq.cmdline"
