Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\.exe] '' = 'jpegfile'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ОТµДЖф¶ЇПо' = '<Текущая директория>\CYX777.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'kiss770.cn' = '<Полный путь к вирусу>'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Explore.exe' = '<SYSTEM32>\0.vbs'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
блокирует запуск следующих системных утилит:
- Интерпретатора командной строки (CMD)
- Диспетчера задач (Taskmgr)
- Редактора реестра (RegEdit)
Запускает на исполнение:
- <SYSTEM32>\taskkill.exe /f /im 360tray.exe
- <SYSTEM32>\taskkill.exe /f /im VsTskMgr.exe
- <SYSTEM32>\wbem\wmiadap.exe /R /T
- <SYSTEM32>\cmd.exe /c <SYSTEM32>\reg.bat
- <SYSTEM32>\taskkill.exe /im /f explorer.exe
- <SYSTEM32>\taskkill.exe /f /im Mcshield.exe
- <SYSTEM32>\taskkill.exe /f /im kavsvc.exe
- %WINDIR%\explorer.exe
- <SYSTEM32>\taskkill.exe /f /im KVXP.kxp
- <SYSTEM32>\taskkill.exe /f /im Ravmon.exe
- <SYSTEM32>\taskkill.exe /f /im Rav.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\Explorer.EXE
следующие пользовательские процессы:
- iexplore.exe
Изменяет следующие настройки проводника Windows (Windows Explorer):
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoLogOff' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFileMenu' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFind' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoSetFolders' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoViewContextMenu' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoRecentDocsMenu' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoClose' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoDrives' = 'FFFFFFFF'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoRun' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoControlPanel' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoDesktop' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFolderOptions' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoViewOnDrive' = 'FFFFFFFF'
Принудительно разрешает автозапуск со съемных носителей.
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\reg.reg
- <SYSTEM32>\wscript.ico
- <SYSTEM32>\wbem\Performance\WmiApRpl_new.ini
- <SYSTEM32>\reg.bat
- C:\<Имя вируса>.exe
- <SYSTEM32>\1.ico
- <SYSTEM32>\0.bat
- <SYSTEM32>\0.vbs
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\0.bat
- <SYSTEM32>\0.vbs
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
- ClassName: '' WindowName: 'iexplore.exe'
- ClassName: 'Proxy Desktop' WindowName: ''
- ClassName: '' WindowName: 'explorer.exe'
- ClassName: 'Shell_TrayWnd' WindowName: ''
