Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msngms' = '<SYSTEM32>\serv2.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'opesys' = '<SYSTEM32>\opesys.exe'
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\AutoRun.inf
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\opesys.exe" "H:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\opesys.exe" "I:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\opesys.exe" "J:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\opesys.exe" "G:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\opesys.exe" "D:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\opesys.exe" "E:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\opesys.exe" "F:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\opesys.exe" "O:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\opesys.exe" "P:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\opesys.exe" "Q:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\opesys.exe" "N:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\opesys.exe" "K:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\opesys.exe" "L:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\opesys.exe" "M:" /H/Y
- '<SYSTEM32>\attrib.exe' +h +s Z:\serv2.exe
- '<SYSTEM32>\attrib.exe' +h +s O:\serv2.exe
- '<SYSTEM32>\attrib.exe' +h +s P:\serv2.exe
- '<SYSTEM32>\attrib.exe' +h +s Q:\serv2.exe
- '<SYSTEM32>\attrib.exe' +h +s N:\serv2.exe
- '<SYSTEM32>\attrib.exe' +h +s K:\serv2.exe
- '<SYSTEM32>\attrib.exe' +h +s L:\serv2.exe
- '<SYSTEM32>\attrib.exe' +h +s M:\serv2.exe
- '<SYSTEM32>\attrib.exe' +h +s W:\serv2.exe
- '<SYSTEM32>\attrib.exe' +h +s X:\serv2.exe
- '<SYSTEM32>\attrib.exe' +h +s Y:\serv2.exe
- '<SYSTEM32>\attrib.exe' +h +s U:\serv2.exe
- '<SYSTEM32>\attrib.exe' +h +s R:\serv2.exe
- '<SYSTEM32>\attrib.exe' +h +s S:\serv2.exe
- '<SYSTEM32>\attrib.exe' +h +s T:\serv2.exe
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\opesys.exe" "R:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\serv2.exe" "P:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\serv2.exe" "Q:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\serv2.exe" "R:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\serv2.exe" "O:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\serv2.exe" "L:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\serv2.exe" "M:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\serv2.exe" "N:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\serv2.exe" "X:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\serv2.exe" "Y:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\serv2.exe" "Z:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\serv2.exe" "W:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\serv2.exe" "S:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\serv2.exe" "T:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\serv2.exe" "U:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\serv2.exe" "K:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\opesys.exe" "X:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\opesys.exe" "Y:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\opesys.exe" "Z:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\opesys.exe" "W:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\opesys.exe" "S:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\opesys.exe" "T:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\opesys.exe" "U:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\serv2.exe" "H:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\serv2.exe" "I:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\serv2.exe" "J:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\serv2.exe" "G:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\serv2.exe" "D:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\serv2.exe" "E:" /H/Y
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\serv2.exe" "F:" /H/Y
- '<SYSTEM32>\attrib.exe' +h +s O:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +h +s P:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +h +s Q:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +h +s N:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +h +s K:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +h +s L:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +h +s M:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +h +s W:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +h +s X:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +h +s Y:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +h +s U:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +h +s R:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +h +s S:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +h +s T:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +h +s J:\AutoRun.inf
- '<SYSTEM32>\xcopy.exe' opesys.exe "<SYSTEM32>" /H/Y
- '<SYSTEM32>\xcopy.exe' serv2.exe "<SYSTEM32>" /H/Y
- '<SYSTEM32>\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /v opesys /t REG_SZ /d <SYSTEM32>\opesys.exe /f
- '<SYSTEM32>\ping.exe' -n 10 localhost
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\batfile.bat" "
- '%WINDIR%\explorer.exe' /E,\
- '<SYSTEM32>\ping.exe' -n 15 localhost
- '<SYSTEM32>\attrib.exe' +h +s G:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +h +s H:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +h +s I:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +h +s F:\AutoRun.inf
- '<SYSTEM32>\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /v msngms /t REG_SZ /d <SYSTEM32>\serv2.exe /f
- '<SYSTEM32>\attrib.exe' +h +s <Имя диска съемного носителя>:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +h +s E:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +h +s Z:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +h +s X:\opesys.exe
- '<SYSTEM32>\attrib.exe' +h +s Y:\opesys.exe
- '<SYSTEM32>\attrib.exe' +h +s Z:\opesys.exe
- '<SYSTEM32>\attrib.exe' +h +s W:\opesys.exe
- '<SYSTEM32>\attrib.exe' +h +s S:\opesys.exe
- '<SYSTEM32>\attrib.exe' +h +s T:\opesys.exe
- '<SYSTEM32>\attrib.exe' +h +s U:\opesys.exe
- '<SYSTEM32>\attrib.exe' +h +s H:\serv2.exe
- '<SYSTEM32>\attrib.exe' +h +s I:\serv2.exe
- '<SYSTEM32>\attrib.exe' +h +s J:\serv2.exe
- '<SYSTEM32>\attrib.exe' +h +s G:\serv2.exe
- '<SYSTEM32>\attrib.exe' +h +s <Имя диска съемного носителя>:\serv2.exe
- '<SYSTEM32>\attrib.exe' +h +s E:\serv2.exe
- '<SYSTEM32>\attrib.exe' +h +s F:\serv2.exe
- '<SYSTEM32>\attrib.exe' +h +s R:\opesys.exe
- '<SYSTEM32>\attrib.exe' +h +s H:\opesys.exe
- '<SYSTEM32>\attrib.exe' +h +s I:\opesys.exe
- '<SYSTEM32>\attrib.exe' +h +s J:\opesys.exe
- '<SYSTEM32>\attrib.exe' +h +s G:\opesys.exe
- '<SYSTEM32>\attrib.exe' +h +s <Имя диска съемного носителя>:\opesys.exe
- '<SYSTEM32>\attrib.exe' +h +s E:\opesys.exe
- '<SYSTEM32>\attrib.exe' +h +s F:\opesys.exe
- '<SYSTEM32>\attrib.exe' +h +s O:\opesys.exe
- '<SYSTEM32>\attrib.exe' +h +s P:\opesys.exe
- '<SYSTEM32>\attrib.exe' +h +s Q:\opesys.exe
- '<SYSTEM32>\attrib.exe' +h +s N:\opesys.exe
- '<SYSTEM32>\attrib.exe' +h +s K:\opesys.exe
- '<SYSTEM32>\attrib.exe' +h +s L:\opesys.exe
- '<SYSTEM32>\attrib.exe' +h +s M:\opesys.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\1.tmp\batfile.bat
Присваивает атрибут 'скрытый' для следующих файлов:
- <Имя диска съемного носителя>:\AutoRun.inf
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
- ClassName: '' WindowName: 'GINA Logon'
- ClassName: '' WindowName: ''
