Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'kjzm' = 'C:\setup\kjzm.exe'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Обновления системы (Windows Update)
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' -f -im close2.exe
- '%WINDIR%\syswow64\taskkill.exe' -f -im close.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\aut3646.tmp
- C:\setup\syspin.exe
- %TEMP%\aut3a8c.tmp
- %WINDIR%\reboot.exe
- %TEMP%\aut4069.tmp
- C:\setup\pppoe.exe
- %PROGRAMDATA%\microsoft\network\connections\pbk\rasphone.pbk
- C:\setup\pppoe.zip
- %WINDIR%\pppoe.ico
- C:\users\public\desktop\ВїГ´øᬽó.lnk
Удаляет следующие файлы
- %TEMP%\aut3646.tmp
- %WINDIR%\tasks\sa.dat
- %WINDIR%\tasks\adobe flash player updater.job
- %WINDIR%\temp\ts_8e67.tmp
- %WINDIR%\temp\ts_77d1.tmp
- %WINDIR%\temp\ts_5080.tmp
- %WINDIR%\temp\ts_4f66.tmp
- %WINDIR%\temp\ts_39ba.tmp
- %WINDIR%\temp\ts_3852.tmp
- <SYSTEM32>\tasks\adobe flash player updater
- %WINDIR%\temp\ts_361e.tmp
- %WINDIR%\temp\ts_2bfb.tmp
- %WINDIR%\temp\ts_2b0f.tmp
- %WINDIR%\temp\ts_267a.tmp
- %WINDIR%\temp\dmi8538.tmp
- C:\setup\pppoe.exe
- C:\setup\pppoe.zip
- %TEMP%\aut4069.tmp
- %TEMP%\aut3a8c.tmp
- %WINDIR%\temp\ts_316a.tmp
- C:\setup\syspin.exe
Подменяет следующие файлы
- %PROGRAMDATA%\ntuser.pol
- %HOMEPATH%\ntuser.pol
Самоудаляется.
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- 'C:\setup\pppoe.exe' 10
- '%WINDIR%\reboot.exe'
- '%WINDIR%\syswow64\cmd.exe' /c sc stop wuauserv' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c sc config wuauserv start= DISABLED' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c sc stop BITS' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c sc config BITS start= DISABLED' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c sc config WSearch start= DISABLED' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c gpupdate /force' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c bcdedit /timeout 6' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} bootmenupolicy legacy' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill -f -im close.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill -f -im close2.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 -n 3&rd /q/s "<Текущая директория>"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c sc stop wuauserv
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 -n 3&rd /q/s "<Текущая директория>"
- '%WINDIR%\syswow64\cmd.exe' /c taskkill -f -im close2.exe
- '%WINDIR%\syswow64\cmd.exe' /c taskkill -f -im close.exe
- '%WINDIR%\syswow64\gpupdate.exe' /force
- '%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} bootmenupolicy legacy
- '%WINDIR%\syswow64\cmd.exe' /c bcdedit /timeout 6
- '%WINDIR%\syswow64\cmd.exe' /c gpupdate /force
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
- '%WINDIR%\syswow64\sc.exe' config wuauserv start= DISABLED
- '%WINDIR%\syswow64\sc.exe' config BITS start= DISABLED
- '%WINDIR%\syswow64\sc.exe' stop wuauserv
- '%WINDIR%\syswow64\sc.exe' stop BITS
- '%WINDIR%\syswow64\cmd.exe' /c sc config WSearch start= DISABLED
- '%WINDIR%\syswow64\cmd.exe' /c sc config BITS start= DISABLED
- '%WINDIR%\syswow64\cmd.exe' /c sc stop BITS
- '%WINDIR%\syswow64\cmd.exe' /c sc config wuauserv start= DISABLED
- '%WINDIR%\syswow64\sc.exe' config WSearch start= DISABLED
- '<SYSTEM32>\gpscript.exe' /RefreshSystemParam
Пытается завершить работу операционной системы Windows.
