Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msconfig.exe' = '\lsass.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '24688.exe' = '%WINDIR%\lsass.exe'
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'shell' = 'explorer.exe kmcler.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Ares p2p for windows' = '%PROGRAM_FILES%\Ares\Ares.exe -h'
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'Run' = '%HOMEPATH%\lsass.exe, %APPDATA%\lsass.exe'
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'Load' = '%HOMEPATH%\lsass.exe, %WINDIR%\lsass.exe, %TEMP%\lsass.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Ares.exe' = 'homedrive%homepath\lsass.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Google Update.exe' = '\lsass.exe'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
Запускает на исполнение:
- <SYSTEM32>\reg.exe add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL" /v CheckedValue /t REG_DWORD /d "0" /f
- <SYSTEM32>\reg.exe add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v ShowSuperHidden /t REG_DWORD /d "0" /f
- <SYSTEM32>\reg.exe add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v HideFileExt /t REG_DWORD /d "1" /f
- <SYSTEM32>\reg.exe add "HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /V "shell" /t REG_SZ /d "explorer.exe kmcler.exe"
- <SYSTEM32>\reg.exe add "HKCU\Software\Microsoft\Windows\CurrentVersion\run" /v "Ares p2p for windows" /t reg_sz /d "%PROGRAM_FILES%\Ares\Ares.exe -h" /f
- <SYSTEM32>\reg.exe add "HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL" /v CheckedValue /t REG_DWORD /d "0" /f
- <SYSTEM32>\reg.exe add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v Hidden /t REG_DWORD /d "2" /f
- <SYSTEM32>\reg.exe add "HKCU\Software\Microsoft\Windows\CurrentVersion\run" /v "Google Update.exe" /t reg_sz /d \lsass.exe /f
- <SYSTEM32>\reg.exe add "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows" /v "Run" /t reg_sz /d "%HOMEPATH%\lsass.exe, %APPDATA%\lsass.exe" /f
- <SYSTEM32>\reg.exe add "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows" /v "Load" /t reg_sz /d "%HOMEPATH%\lsass.exe, %WINDIR%\lsass.exe, C:\Documents and Settings\%USERNAME%\LOCALS~1\Temp\lsass.exe" /f
- <SYSTEM32>\reg.exe add "HKLM\Software\Microsoft\Windows\CurrentVersion\run" /v "msconfig.exe" /t reg_sz /d \lsass.exe /f
- <SYSTEM32>\reg.exe add "HKCU\Software\Microsoft\Windows\CurrentVersion\run" /v "24688.exe" /t reg_sz /d %WINDIR%\lsass.exe /f
- <SYSTEM32>\reg.exe add "HKCU\Software\Microsoft\Windows\CurrentVersion\run" /v "Ares.exe" /t reg_sz /d homedrive%homepath\lsass.exe /f
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\2461.bat
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\2461.bat
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
