Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'winlogon' = '"%ProgramFiles%\ashMaiSv\winlogon.exe"'
- [<HKLM>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "%ProgramFiles%\ashMaiSv\winlogon.exe"'
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'WUDFHost' = '"%WINDIR%\twain_32\WUDFHost.exe"'
- [<HKLM>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "%ProgramFiles%\ashMaiSv\winlogon.exe", "%WINDIR%\twain_32\WUDFHost.exe"'
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'Idle' = '"C:\Far2\FExcept\Idle.exe"'
- [<HKLM>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "%ProgramFiles%\ashMaiSv\winlogon.exe", "%WINDIR%\twain_32\WUDFHost.exe", "C:\Far2\FExcept\Idle.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\ivmvwinlogon
- <SYSTEM32>\tasks\0v6lwinlogon
- <SYSTEM32>\tasks\2vmfwinlogon
- <SYSTEM32>\tasks\winlogon
- <SYSTEM32>\tasks\td1uwudfhost
- <SYSTEM32>\tasks\wudfhost
- <SYSTEM32>\tasks\yk8bwudfhost
- <SYSTEM32>\tasks\k1lewudfhost
- <SYSTEM32>\tasks\pzdgidle
- <SYSTEM32>\tasks\ub7ridle
- <SYSTEM32>\tasks\yjukidle
- <SYSTEM32>\tasks\idle
- <SYSTEM32>\tasks\services32
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\09aa4249cbb60b00db3c9be3c4e8a822.exe
- <Имя диска съемного носителя>:\thlps_keeper_mayer_1965.lnk
- <Имя диска съемного носителя>:\dotnetfx45_full_setup.lnk
- <Имя диска съемного носителя>:\jre-7u75-windows-i586-iftw.lnk
- <Имя диска съемного носителя>:\calc.lnk
- <Имя диска съемного носителя>:\alert.lnk
- <Имя диска съемного носителя>:\tree_view.lnk
- <Имя диска съемного носителя>:\nwfieldnotes1966.lnk
- <Имя диска съемного носителя>:\file_p_00000000_1371597592.lnk
- <Имя диска съемного носителя>:\advice_process.lnk
- <Имя диска съемного носителя>:\about.lnk
- <Имя диска съемного носителя>:\adadsi.lnk
- <Имя диска съемного носителя>:\howto-index.lnk
- <Имя диска съемного носителя>:\ituneshelpunavailable.lnk
- <Имя диска съемного носителя>:\trivial-merge.lnk
- <Имя диска съемного носителя>:\pushkin.lnk
- <Имя диска съемного носителя>:\browse.lnk
- <Имя диска съемного носителя>:\garden.lnk
- <Имя диска съемного носителя>:\holycrosschurchinstructions.lnk
- <Имя диска съемного носителя>:\glidescope_review_rev_010.lnk
- <Имя диска съемного носителя>:\issi2013_template_for_posters.lnk
- <Имя диска съемного носителя>:\000814251_video_01.lnk
- <Имя диска съемного носителя>:\join.lnk
- <Имя диска съемного носителя>:\delete.lnk
- <Имя диска съемного носителя>:\default.lnk
- <Имя диска съемного носителя>:\dashborder_120.lnk
- <Имя диска съемного носителя>:\dashborder_96.lnk
- <Имя диска съемного носителя>:\dashborder_144.lnk
- <Имя диска съемного носителя>:\correct.lnk
- <Имя диска съемного носителя>:\coffee.lnk
- <Имя диска съемного носителя>:\testcertificate.lnk
- <Имя диска съемного носителя>:\pmd.lnk
- <Имя диска съемного носителя>:\hanni_umami_chapter.lnk
- <Имя диска съемного носителя>:\fi51.lnk
- <Имя диска съемного носителя>:\applicantform_en.lnk
- <Имя диска съемного носителя>:\ovp25012015.lnk
- <Имя диска съемного носителя>:\508softwareandos.lnk
- <Имя диска съемного носителя>:\contosoroot.lnk
- <Имя диска съемного носителя>:\region-north-karelia.lnk
- <Имя диска съемного носителя>:\3.lnk
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\vm_fontreviewmonitordllrefsvc.exe
- %APPDATA%\conhost_rs.exe
- %TEMP%\voicemodsetup.exe
- %TEMP%\is-3uo2o.tmp\voicemodsetup.tmp
- %TEMP%\is-ashsm.tmp\_isetup\_setup64.tmp
- %TEMP%\is-ashsm.tmp\idp.dll
- %ProgramFiles%\ashmaisv\winlogon.exe
- %ProgramFiles%\ashmaisv\cc11b995f2a76d
- %WINDIR%\twain_32\wudfhost.exe
- %WINDIR%\twain_32\480b7989c529f6
- C:\far2\fexcept\idle.exe
- C:\far2\fexcept\6ccacd8608530f
- %HOMEPATH%\windows\services32.exe
Присваивает атрибут 'скрытый' для следующих файлов
- <Имя диска съемного носителя>:\09aa4249cbb60b00db3c9be3c4e8a822.exe
Удаляет следующие файлы
- <Имя диска съемного носителя>:\alert.lnk
- <Имя диска съемного носителя>:\region-north-karelia.lnk
- <Имя диска съемного носителя>:\3.lnk
Сетевая активность
Подключается к
- '18#.#20.229.5':80
TCP
Запросы HTTP GET
- http://18#.#20.229.5/boot/u927/ApiDefaultdownloads.php?vv########################################################################################################################################...
- http://18#.#20.229.5/boot/u927/ApiDefaultdownloads.php?I0########################################################################################################################################...
Другое
Создает и запускает на исполнение
- '%TEMP%\vm_fontreviewmonitordllrefsvc.exe'
- '%APPDATA%\conhost_rs.exe'
- '%TEMP%\voicemodsetup.exe'
- '%TEMP%\is-3uo2o.tmp\voicemodsetup.tmp' /SL5="$E0218,22991991,87040,%TEMP%\VoicemodSetup.exe"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%ProgramFiles%\ashMaiSv\winlogon.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\Far2\FExcept\Idle.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%TEMP%\vm_fontreviewmonitordllrefsvc.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%WINDIR%\twain_32\WUDFHost.exe'
- '%WINDIR%\twain_32\wudfhost.exe'
- '%HOMEPATH%\windows\services32.exe'
- '%WINDIR%\twain_32\wudfhost.exe' ' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' cmd /c powershell -EncodedCommand "QQBkAGQALQBNAHAAUAByAGUAZgBlAHIAZQBuAGMAZQAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUABhAHQAaAAgAEAAKAAkAGUAbgB2ADoAVQBzAGUAcgBQAHIAbwBmAGkAbABlACwAJABlAG4AdgA6AFMAeQBzAH...
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "services32" /tr "%HOMEPATH%\Windows\services32.exe"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -EncodedCommand "QQBkAGQALQBNAHAAUAByAGUAZgBlAHIAZQBuAGMAZQAgAC0ARQB4AGMAbAB1AHMAaQBvAG4ARQB4AHQAZQBuAHMAaQBvAG4AIABAACgAJwBlAHgAZQAnACwAJwBkAGwAbAAnACkAIAAtAEYAbwByAGMAZQA="
- '<SYSTEM32>\schtasks.exe' /create /tn "Idle" /sc MINUTE /mo 5 /tr "'C:\Far2\FExcept\Idle.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "yJukIdle" /sc ONSTART /tr "'C:\Far2\FExcept\Idle.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "UB7RIdle" /sc ONLOGON /tr "'C:\Far2\FExcept\Idle.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "PzDGIdle" /sc MINUTE /mo 11 /tr "'C:\Far2\FExcept\Idle.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "WUDFHost" /sc MINUTE /mo 12 /tr "'%WINDIR%\twain_32\WUDFHost.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "YK8BWUDFHost" /sc ONSTART /tr "'%WINDIR%\twain_32\WUDFHost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "k1leWUDFHost" /sc ONLOGON /tr "'%WINDIR%\twain_32\WUDFHost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "TD1uWUDFHost" /sc MINUTE /mo 10 /tr "'%WINDIR%\twain_32\WUDFHost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "winlogon" /sc MINUTE /mo 7 /tr "'%ProgramFiles%\ashMaiSv\winlogon.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "2vMfwinlogon" /sc ONSTART /tr "'%ProgramFiles%\ashMaiSv\winlogon.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "0V6Lwinlogon" /sc ONLOGON /tr "'%ProgramFiles%\ashMaiSv\winlogon.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "iVMVwinlogon" /sc MINUTE /mo 10 /tr "'%ProgramFiles%\ashMaiSv\winlogon.exe'" /rl HIGHEST /f
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -EncodedCommand "QQBkAGQALQBNAHAAUAByAGUAZgBlAHIAZQBuAGMAZQAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUABhAHQAaAAgAEAAKAAkAGUAbgB2ADoAVQBzAGUAcgBQAHIAbwBmAGkAbABlACwAJABlAG4AdgA6AFMAeQBzAHQAZQBtAEQAcgBpAHYA...
- '<SYSTEM32>\schtasks.exe' /create /f /sc onlogon /rl highest /tn "services32" /tr "%HOMEPATH%\Windows\services32.exe"
- '<SYSTEM32>\cmd.exe' cmd /c "%HOMEPATH%\Windows\services32.exe"
