Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\KeyFile\Shell\Open\Command] '' = 'NotePad.eXe "%1"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
- [<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'Explorer.eXe'
- [<HKLM>\SOFTWARE\Classes\Msi.Package\shell\Open\command] '' = ''
- [<HKLM>\SOFTWARE\Classes\.Cmd] '' = 'CmdFile'
- [<HKLM>\SOFTWARE\Classes\.Bat] '' = 'BatFile'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
блокирует:
- Cредство проверки системных файлов (SFC)
Запускает на исполнение:
- <SYSTEM32>\runonce.exe -r
- <SYSTEM32>\grpconv.exe -o
- <SYSTEM32>\rundll32.exe SetupApi,InstallHinfSection DefaultInstall 132 %TEMP%\SetTemplate.Inf
- <SYSTEM32>\taskkill.exe /F /Im Explorer.eXe
- %WINDIR%\explorer.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменяет следующие настройки проводника Windows (Windows Explorer):
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoSMMyPictures' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoSMMyDocs' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoSimpleStartMenu' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoDrives' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoStartMenuMyMusic' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFind' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFavoritesMenu' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoNetHood' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoSMHelp' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoRecentDocsMenu' = '00000001'
Принудительно разрешает автозапуск со съемных носителей.
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Microsoft\Templates\木咱镇??村农村最低生活保障对象名单公示（A3模板）.Dot
- %TEMP%\autA.tmp
- %APPDATA%\Microsoft\Templates\16K文档通用模板.Dot
- %TEMP%\aut9.tmp
- %APPDATA%\Microsoft\Templates\(原版免排)文件模板(A4).Dot
- %TEMP%\aut8.tmp
- %APPDATA%\Microsoft\Templates\木府发 [2008] 号-政府文件模板(16K).Dot
- %TEMP%\autD.tmp
- %TEMP%\autE.tmp
- %TEMP%\autF.tmp
- %APPDATA%\Microsoft\PowerPoint\PPT11.Pcb
- %TEMP%\autB.tmp
- %APPDATA%\Microsoft\Excel\Excel11.Xlb
- %TEMP%\autC.tmp
- %TEMP%\SetTemplate.Inf
- %TEMP%\aut3.tmp
- %APPDATA%\Microsoft\Templates\Normal.Dot
- %TEMP%\aut2.tmp
- %TEMP%\aut1.tmp
- <SYSTEM32>\FrameDyn.Dll
- C:\Temp\Desktop.InI
- %TEMP%\aut6.tmp
- %APPDATA%\Microsoft\Templates\(红头文件纸用)文件模板(A4).Dot
- %TEMP%\aut7.tmp
- %APPDATA%\Microsoft\Templates\Mormal.Dotx
- %TEMP%\aut4.tmp
- %APPDATA%\Microsoft\Templates\Normal.Dotm
- %TEMP%\aut5.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\Temp\Desktop.InI
Удаляет следующие файлы:
- %TEMP%\SetTemplate.Inf
- %TEMP%\autB.tmp
- %TEMP%\aut9.tmp
- %TEMP%\autA.tmp
- %TEMP%\autE.tmp
- %TEMP%\autF.tmp
- %TEMP%\autC.tmp
- %TEMP%\autD.tmp
- %TEMP%\aut3.tmp
- %TEMP%\aut4.tmp
- %TEMP%\aut1.tmp
- %TEMP%\aut2.tmp
- %TEMP%\aut7.tmp
- %TEMP%\aut8.tmp
- %TEMP%\aut5.tmp
- %TEMP%\aut6.tmp
Другое:
Ищет следующие окна:
- ClassName: 'OleMainThreadWndClass' WindowName: ''
- ClassName: 'SysListView32' WindowName: ''
- ClassName: 'CSCHiddenWindow' WindowName: ''
- ClassName: 'SystemTray_Main' WindowName: ''
- ClassName: 'BaseBar' WindowName: 'ChanApp'
- ClassName: '' WindowName: ''
- ClassName: 'CicLoaderWndClass' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Proxy Desktop' WindowName: ''
