Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\net.exe' stop sharedaccess
Изменяет следующие настройки браузера Windows Internet Explorer
- [<HKCU>\software\microsoft\windows\currentversion\internet settings\Zones\2] 'flags' = '00000043'
- [<HKCU>\software\microsoft\windows\currentversion\internet settings\Zones\2] '1001' = '00000000'
- [<HKCU>\software\microsoft\windows\currentversion\internet settings\Zones\2] '1004' = '00000000'
- [<HKCU>\software\microsoft\windows\currentversion\internet settings\Zones\2] '1200' = '00000000'
- [<HKCU>\software\microsoft\windows\currentversion\internet settings\Zones\2] '1201' = '00000000'
- [<HKCU>\software\microsoft\windows\currentversion\internet settings\Zones\2] '1206' = '00000000'
- [<HKCU>\software\microsoft\windows\currentversion\internet settings\Zones\2] '1405' = '00000000'
- [<HKCU>\software\microsoft\windows\currentversion\internet settings\Zones\2] '1406' = '00000000'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\7zipsfx.000\setup\usersetup.msi
- %APPDATA%\microsoft\windows\start menu\programs\v4用户认证\uninstall.exe.lnk
- %APPDATA%\microsoft\windows\start menu\programs\v4用户认证\v4usersetup.exe.lnk
- %APPDATA%\microsoft\installer\{fc2d29b7-f3d8-4dd6-a266-68ad76cf39fb}\_c68b6996bcc04b9e50e968.exe
- %APPDATA%\microsoft\installer\{fc2d29b7-f3d8-4dd6-a266-68ad76cf39fb}\_3cf6fdb9b07d286df61507.exe
- %ProgramFiles(x86)%\wfoactive\v4用户认证\useractivex.dll
- %ProgramFiles(x86)%\wfoactive\useractivex.tlb
- %ProgramFiles(x86)%\wfoactive\v4用户认证\msiexec.exe
- %TEMP%\defopenpms.reg
- %ProgramFiles(x86)%\wfoactive\useractivex.pdb
- %ProgramFiles(x86)%\wfoactive\v4用户认证\setup.exe
- %BOOT_VOL%\boot\bcd
- %BOOT_VOL%\boot\bcd.log
- %TEMP%\cfgf565.tmp
- %TEMP%\defopen.reg
- nul
- %TEMP%\7zipsfx.000\运行.bat
- %ProgramFiles(x86)%\wfoactive\useractivex.dll
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012021030920210310\index.dat
Удаляет следующие файлы
- %TEMP%\defopen.reg
- %TEMP%\defopenpms.reg
Перемещает следующие файлы
- %ProgramFiles(x86)%\wfoactive\useractivex.tlb в C:\config.msi\6f367.rbf
Изменяет следующие файлы
- %LOCALAPPDATA%\microsoft\windows\usrclass.dat.log1
- %LOCALAPPDATA%\microsoft\windows\usrclass.dat
Подменяет следующие файлы
- %ProgramFiles(x86)%\wfoactive\useractivex.tlb
Сетевая активность
Подключается к
- 'in###.7daysinn.cn':80
TCP
Запросы HTTP GET
- http://in###.7daysinn.cn/favicon.ico
UDP
- DNS ASK in###.7daysinn.cn
Другое
Ищет следующие окна
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: 'Static' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\7ZipSfx.000\运行.bat" "
- '%WINDIR%\syswow64\msiexec.exe' /i "%TEMP%\7ZipSfx.000\Setup\UserSetup.msi" /passive
- '%WINDIR%\syswow64\regedit.exe' /S "%LOCALAPPDATA%\Temp.\DefOpen.reg"
- '%WINDIR%\syswow64\sc.exe' config sharedaccess start= disabled
- '%WINDIR%\syswow64\net1.exe' stop sharedaccess
- '%WINDIR%\syswow64\takeown.exe' /f "%ProgramFiles%\WFOActive" /a /r /d y
- '%WINDIR%\syswow64\reg.exe' query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA
- '%WINDIR%\syswow64\cmd.exe' /c reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA
- '%WINDIR%\syswow64\find.exe' "6.1."
- '%WINDIR%\syswow64\find.exe' "6.0."
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe' "http://in###.7daysinn.cn/"
- '%WINDIR%\syswow64\find.exe' "5.2."
- '%WINDIR%\syswow64\cmd.exe' /S /D /c" ver "
- '%WINDIR%\syswow64\find.exe' /i "360tray.exe"
- '%WINDIR%\syswow64\find.exe' /i "tmproxy.exe"
- '%WINDIR%\syswow64\find.exe' /i "avfwsvc.exe"
- '%WINDIR%\syswow64\find.exe' /i "shstat.exe"
- '%WINDIR%\syswow64\find.exe' /i "vptray.exe"
- '%WINDIR%\syswow64\find.exe' /i "AVP.EXE"
- '%WINDIR%\syswow64\tasklist.exe' /nh
- '%WINDIR%\syswow64\mode.com' con lines=25 cols=73
- '%WINDIR%\syswow64\find.exe' "5.1."
- '%WINDIR%\syswow64\regedit.exe' /S "%LOCALAPPDATA%\Temp.\DefOpenpms.reg"
