Tool.ForceDel.9

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'gbpkm' = '%HOMEPATH%\<Имя файла>.exe'
[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce] 'Cleanup' = 'C:\cleanup.exe'

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\dvfplat] 'ImagePath' = 'system32\drivers\fftzenh.sys'
[<HKLM>\System\CurrentControlSet\Services\dvfplat] 'Start' = '00000000'

Изменения в файловой системе

Создает следующие файлы

%HOMEPATH%\dichbfjd.exe
%HOMEPATH%\<Имя файла>.exe
%WINDIR%\steps.txt
%WINDIR%\arp32.exe
%ProgramFiles(x86)%\axtunvze.ttt
%WINDIR%\syswow64\drivers\fftzenh.sys
C:\zip.exe
C:\cleanup.bat
C:\cleanup.exe
C:\avexport.bat

Удаляет следующие файлы

%HOMEPATH%\<Имя файла>.exe

Подменяет следующие файлы

%HOMEPATH%\<Имя файла>.exe

Сетевая активность

Подключается к

'12#.#99.64.2':80
'in#######anking.caixa.gov.br':443

TCP

Другие

'in#######anking.caixa.gov.br':443

UDP

DNS ASK in#######anking.caixa.gov.br
DNS ASK up####.firepackets.org

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''
ClassName: '' WindowName: ''
ClassName: 'RegEdit_RegEdit' WindowName: ''

Создает и запускает на исполнение

'%HOMEPATH%\dichbfjd.exe'
'%WINDIR%\arp32.exe' /nogui %WINDIR%\steps.txt
'%HOMEPATH%\dichbfjd.exe' ' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""C:\avexport.bat" "' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""C:\avexport.bat" "
'%WINDIR%\syswow64\regedit.exe' /e C:\21.reg "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ GbPluginBb"
'%WINDIR%\syswow64\regedit.exe' /e C:\20.reg "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{C41A1C01-EA6C-11D4-B1B8-444553540003}"
'%WINDIR%\syswow64\regedit.exe' /e C:\19.reg "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{C41A1C01-EA6C-11D4-B1B8-444553540000}"
'%WINDIR%\syswow64\regedit.exe' /e C:\18.reg "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{C41A1C0D-EA6C-11D4-B1B8-444553540003}"
'%WINDIR%\syswow64\regedit.exe' /e C:\17.reg "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{C41A1C0D-EA6C-11D4-B1B8-444553540000}"
'%WINDIR%\syswow64\regedit.exe' /e C:\16.reg "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\GbpDist.GbpDistObj.1"
'%WINDIR%\syswow64\regedit.exe' /e C:\15.reg "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\GbpDist.GbpDistObj"
'%WINDIR%\syswow64\regedit.exe' /e C:\14.reg "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\GbiehCef.GbPluginObj.1"
'%WINDIR%\syswow64\regedit.exe' /e C:\13.reg "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\GbiehCef.GbPluginObj"
'%WINDIR%\syswow64\regedit.exe' /e C:\12.reg "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\GbiehCef.GbIehObj.1"
'%WINDIR%\syswow64\regedit.exe' /e C:\11.reg "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\GbiehCef.GbIehObj"
'%WINDIR%\syswow64\regedit.exe' /e C:\10.reg "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Gbieh.GbPluginObj.1"
'%WINDIR%\syswow64\regedit.exe' /e C:\9.reg "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Gbieh.GbPluginObj"
'%WINDIR%\syswow64\regedit.exe' /e C:\8.reg "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Gbieh.GbIehObj.1"
'%WINDIR%\syswow64\regedit.exe' /e C:\7.reg "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Gbieh.GbIehObj"
'%WINDIR%\syswow64\regedit.exe' /e C:\6.reg "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E37CB5F0-51F5-4395-A808-5FA49E399F83}"
'%WINDIR%\syswow64\regedit.exe' /e C:\5.reg "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E37CB5F0-51F5-4395-A808-5FA49E399003}"
'%WINDIR%\syswow64\regedit.exe' /e C:\4.reg "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{C41A1C0E-EA6C-11D4-B1B8-444553540003}"
'%WINDIR%\syswow64\regedit.exe' /e C:\3.reg "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{C41A1C0E-EA6C-11D4-B1B8-444553540000}"
'%WINDIR%\syswow64\regedit.exe' /e C:\2.reg "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\GbpKm"
'%WINDIR%\syswow64\regedit.exe' /e C:\1.reg "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\GbpSv"
'%WINDIR%\syswow64\regedit.exe' /e C:\22.reg "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ GbPluginCef"
'%WINDIR%\syswow64\regedit.exe' /e C:\23.reg "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ GbPluginAbn"