Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,%WINDIR%\AppPatch\wscntfy.exe,%WINDIR%\help\svchost.exe'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\apppatch\wscntfy.exe
Другое
Ищет следующие окна
- ClassName: 'M0zilla/5.0' WindowName: '<Полный путь к файлу>'
- ClassName: 'M0zilla/5.0' WindowName: '%WINDIR%\AppPatch\wscntfy.exe'
Создает и запускает на исполнение
- '%WINDIR%\apppatch\wscntfy.exe'
- '%WINDIR%\syswow64\cmd.exe' /c echo y|cacls %WINDIR%\AppPatch /c /t /g BUILTIN\Administrators:f' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo y|cacls %WINDIR%\AppPatch /c /t /g everyone:r' (со скрытым окном)
- '%WINDIR%\apppatch\wscntfy.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c echo y|cacls %WINDIR%\AppPatch /c /t /g BUILTIN\Administrators:f
- '%WINDIR%\syswow64\cmd.exe' /S /D /c" echo y"
- '%WINDIR%\syswow64\cacls.exe' %WINDIR%\AppPatch /c /t /g BUILTIN\Administrators:f
- '%WINDIR%\syswow64\cmd.exe' /c echo y|cacls %WINDIR%\AppPatch /c /t /g everyone:r
- '%WINDIR%\syswow64\cacls.exe' %WINDIR%\AppPatch /c /t /g everyone:r
