Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'mdm' = '"%CommonProgramFiles(x86)%\microsoft shared\VS7Debug\vs7jit\mdm.exe"'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'explorer' = '"C:\Far2\Documentation\explorer.exe"'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'System' = '"C:\Far2\Documentation\eng\System.exe"'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'spoolsv' = '"<SYSTEM32>\perfmon\spoolsv.exe"'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '"%ALLUSERSPROFILE%\Sun\Java\Java Update\<Имя файла>.exe"'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'spoolsv' = '"C:\totalcmd\LANGUAGE\spoolsv.exe"'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'smss' = '"<SYSTEM32>\KBDSG\smss.exe"'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'wininit' = '"<SYSTEM32>\sendmail\wininit.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\mdm
- <SYSTEM32>\tasks\explorer
- <SYSTEM32>\tasks\system
- <SYSTEM32>\tasks\spoolsv
- <SYSTEM32>\tasks\<Имя файла>
- <SYSTEM32>\tasks\smss
- <SYSTEM32>\tasks\wininit
Изменения в файловой системе
Создает следующие файлы
- %CommonProgramFiles(x86)%\microsoft shared\vs7debug\vs7jit\mdm.exe
- %WINDIR%\syswow64\kbdsg\69ddcba757bf72f7d36c464c71f42baab150b2b9
- %WINDIR%\syswow64\kbdsg\smss.exe
- C:\totalcmd\language\f3b6ecef712a24f33798f5d2fb3790c3d9b894c4
- C:\totalcmd\language\spoolsv.exe
- %ALLUSERSPROFILE%\sun\java\java update\3e92fc98a16ee08b751e4cfc804419aacfc29c3c
- %ALLUSERSPROFILE%\sun\java\java update\<Имя файла>.exe
- %WINDIR%\syswow64\perfmon\f3b6ecef712a24f33798f5d2fb3790c3d9b894c4
- %WINDIR%\syswow64\sendmail\wininit.exe
- %WINDIR%\syswow64\perfmon\spoolsv.exe
- %TEMP%\swgzyjlo5r.bat
- %TEMP%\l9nsjoff9h
- C:\far2\documentation\eng\27d1bcfc3c54e0e44ea423ffd4ee81fe73670a2a
- C:\far2\documentation\eng\system.exe
- C:\far2\documentation\7a0fd90576e08807bde2cc57bcf9854bbce05fe3
- C:\far2\documentation\explorer.exe
- %CommonProgramFiles(x86)%\microsoft shared\vs7debug\vs7jit\559fba5f8e44108851927af432f0edac6117c574
- nul
- %WINDIR%\syswow64\sendmail\560854153607923c4c5f107085a7db67be01f252
Удаляет следующие файлы
- %TEMP%\l9nsjoff9h
Сетевая активность
UDP
- 'localhost':123
Другое
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\sun\java\java update\<Имя файла>.exe'
- '%WINDIR%\syswow64\cmd.exe' /C "%TEMP%\sWGzYJlo5r.bat"' (со скрытым окном)
- '%ALLUSERSPROFILE%\sun\java\java update\<Имя файла>.exe' ' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /tn "mdm" /sc ONLOGON /tr "'%CommonProgramFiles(x86)%\microsoft shared\VS7Debug\vs7jit\mdm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "explorer" /sc ONLOGON /tr "'C:\Far2\Documentation\explorer.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "System" /sc ONLOGON /tr "'C:\Far2\Documentation\eng\System.exe'" /rl HIGHEST /f
- '%WINDIR%\syswow64\cmd.exe' /C "%TEMP%\sWGzYJlo5r.bat"
- '%WINDIR%\syswow64\chcp.com' 65001
- '%WINDIR%\syswow64\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2
- '<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2
- '<SYSTEM32>\schtasks.exe' /create /tn "spoolsv" /sc ONLOGON /tr "'<SYSTEM32>\perfmon\spoolsv.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>" /sc ONLOGON /tr "'%ALLUSERSPROFILE%\Sun\Java\Java Update\<Имя файла>.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "spoolsv" /sc ONLOGON /tr "'C:\totalcmd\LANGUAGE\spoolsv.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "smss" /sc ONLOGON /tr "'<SYSTEM32>\KBDSG\smss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "wininit" /sc ONLOGON /tr "'<SYSTEM32>\sendmail\wininit.exe'" /rl HIGHEST /f
