Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\.exe] '' = 'WMAFile'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Запускает на исполнение:
- <SYSTEM32>\attrib.exe +r +a +s +h <SYSTEM32>
- <SYSTEM32>\wscript.exe "c:\msg.vbs"
- <SYSTEM32>\attrib.exe +h c:\msg.vbs
- <SYSTEM32>\reg.exe add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v "NoUserNameInStartMenu" /d "1" /f
- <SYSTEM32>\attrib.exe +s "GOOD BYE.JPG.exe"
- <SYSTEM32>\attrib.exe +r "GOOD BYE.JPG.exe"
- <SYSTEM32>\attrib.exe +h "GOOD BYE.JPG.exe"
- <SYSTEM32>\reg.exe add HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices /v Pwner /t REG_SZ /d %WINDIR%\GOOD BYE.JPG.exe /f
- <SYSTEM32>\reg.exe add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_SZ /d 1 /f
- <SYSTEM32>\cmd.exe /c ""%TEMP%\GOOD BYE.JPG.bat" "
- <SYSTEM32>\rundll32.exe <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %TEMP%\h krhth sthn amoudia.jpg
- <SYSTEM32>\rundll32.exe user32,SwapMouseButton
- <SYSTEM32>\taskkill.exe /f /im explorer.exe
- <SYSTEM32>\netsh.exe firewall set opmode disable
- <SYSTEM32>\reg.exe add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v PWNAGE /t REG_SZ /d <DRIVERS>\GOOD BYE.JPG.exe /f
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменяет следующие настройки проводника Windows (Windows Explorer):
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoUserNameInStartMenu' = '1'
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\5876.21761
- <SYSTEM32>\19474.3611
- %WINDIR%\14421.12136
- <SYSTEM32>\193.15545
- %WINDIR%\10023.31047
- <SYSTEM32>\19297.27306
- %WINDIR%\6613.26356
- <SYSTEM32>\1432.32063
- %WINDIR%\22355.24888
- <SYSTEM32>\2992.30629
- %WINDIR%\29667.2546
- <SYSTEM32>\21678.3566
- %WINDIR%\26981.6074
- <SYSTEM32>\24891.28598
- %WINDIR%\28971.14247
- <SYSTEM32>\25388.14549
- %WINDIR%\9782.24916
- <SYSTEM32>\869.14729
- <SYSTEM32>\15967.1848
- <SYSTEM32>\8210.32157
- %WINDIR%\10267.29859
- <SYSTEM32>\9769.30682
- %WINDIR%\19621.21254
- <SYSTEM32>\2039.30205
- %WINDIR%\15706.28145
- <SYSTEM32>\17999.18563
- %WINDIR%\1587.4260
- <SYSTEM32>\27275.22160
- %WINDIR%\26829.7336
- <SYSTEM32>\26544.18004
- %WINDIR%\31462.26620
- <SYSTEM32>\27633.18298
- %WINDIR%\14922.13549
- <SYSTEM32>\17356.9560
- %WINDIR%\26532.22305
- <SYSTEM32>\16766.4821
- %WINDIR%\16193.22094
- <SYSTEM32>\22682.4943
- %WINDIR%\14469.18201
- <SYSTEM32>\22635.25371
- %WINDIR%\24758.24161
- <SYSTEM32>\7990.11149
- %WINDIR%\15500.6806
- <SYSTEM32>\30563.29918
- %WINDIR%\9773.10573
- <SYSTEM32>\16619.11650
- %WINDIR%\8671.28657
- <SYSTEM32>\1240.2453
- %WINDIR%\15908.91
- <SYSTEM32>\24987.22256
- %WINDIR%\26754.10727
- <SYSTEM32>\29294.30961
- %WINDIR%\8915.9664
- <SYSTEM32>\31376.7003
- %WINDIR%\6386.29377
- %WINDIR%\26780.25397
- %WINDIR%\30699.4922
- <SYSTEM32>\2601.27396
- %WINDIR%\13404.26547
- <SYSTEM32>\18930.24527
- %WINDIR%\12809.14800
- <SYSTEM32>\27893.2969
- %WINDIR%\31239.30107
- <SYSTEM32>\31832.28036
- %WINDIR%\6337.4223
- <SYSTEM32>\6981.6545
- %WINDIR%\31500.12411
- <SYSTEM32>\7699.28915
- %WINDIR%\735.31186
- <SYSTEM32>\8552.23328
- %WINDIR%\5580.5561
- <SYSTEM32>\8293.3354
- %WINDIR%\10746.28379
- <SYSTEM32>\29846.30206
- %WINDIR%\30825.22319
- C:\8847.txt
- C:\13570.txt
- C:\8043.txt
- C:\2933.txt
- C:\25209.txt
- C:\3793.txt
- C:\27904.txt
- C:\8020.txt
- C:\7260.txt
- C:\10424.txt
- C:\12341.txt
- C:\16590.txt
- C:\9278.txt
- C:\6500.txt
- C:\28268.txt
- C:\11524.txt
- C:\22958.txt
- C:\12571.txt
- C:\10402.txt
- C:\24396.txt
- C:\16817.txt
- C:\30513.txt
- C:\2560.txt
- C:\21669.txt
- %TEMP%\GOOD BYE.JPG.bat
- %TEMP%\h krhth sthn amoudia.jpg
- C:\14742.txt
- C:\29279.txt
- C:\19787.txt
- C:\19468.txt
- C:\2996.txt
- C:\28044.txt
- C:\21590.txt
- C:\25555.txt
- C:\16371.txt
- C:\17848.txt
- C:\2722.txt
- %WINDIR%\27736.15167
- <SYSTEM32>\25933.18022
- %WINDIR%\32182.23507
- <SYSTEM32>\30472.18974
- %WINDIR%\15768.29897
- <SYSTEM32>\140.7133
- %WINDIR%\13014.29515
- <SYSTEM32>\1519.4617
- %WINDIR%\13281.21600
- <SYSTEM32>\8063.7688
- %WINDIR%\10375.5220
- <SYSTEM32>\22368.30002
- %WINDIR%\24336.20859
- <SYSTEM32>\5728.15256
- %WINDIR%\1556.1843
- <SYSTEM32>\6269.22635
- %WINDIR%\9330.7977
- <SYSTEM32>\11830.8187
- <SYSTEM32>\7111.24230
- C:\18813.txt
- C:\5956.txt
- C:\16703.txt
- C:\19315.txt
- C:\9227.txt
- C:\3074.txt
- C:\12254.txt
- C:\29780.txt
- C:\11495.txt
- %WINDIR%\20918.16
- <SYSTEM32>\27599.20404
- %WINDIR%\21504.10787
- <SYSTEM32>\24470.10802
- C:\msg.vbs
- C:\14017.txt
- C:\21831.txt
- C:\13126.txt
- C:\28000.txt
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\msg.vbs
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'ShImgVw:CPreviewWnd' WindowName: ''
