Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '360safe' = '<Полный путь к файлу>'
- [<HKLM>\Software\Classes\regfile\shell\open\command] '' = '<Полный путь к файлу>'
- [<HKLM>\Software\Classes\batfile\shell\open\command] '' = '<Полный путь к файлу>'
- [<HKLM>\Software\Classes\comfile\shell\open\command] '' = '<Полный путь к файлу>'
- [<HKLM>\Software\Classes\cmdfile\shell\open\command] '' = '<Полный путь к файлу>'
- [<HKLM>\Software\Classes\scrfile\shell\open\command] '' = '<Полный путь к файлу>'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
изменяет следующие системные настройки:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFolderOptions' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoControlPanel' = '00000001'
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\syswow64\wscript.ico
Изменяет следующие файлы
- <Имя диска съемного носителя>:\trivial-merge.htm
- <Имя диска съемного носителя>:\alert.htm
- <Имя диска съемного носителя>:\iisstart.htm
- <Имя диска съемного носителя>:\tree_view.htm
- <Имя диска съемного носителя>:\alert.html
- <Имя диска съемного носителя>:\browse.html
- <Имя диска съемного носителя>:\iisstart.html
- <Имя диска съемного носителя>:\about.html
- <Имя диска съемного носителя>:\trivial-merge.html
Изменяет файл HOSTS.
Сетевая активность
Подключается к
- 'ma####xiao.3322.org':80
- 'localhost':80
UDP
- DNS ASK ma####xiao.3322.org
Другое
Ищет следующие окна
- ClassName: '' WindowName: 'ctfmon.exe'
Создает и запускает на исполнение
- '%ProgramFiles%\winrar\rar.exe' -ep a <Имя диска съемного носителя>:\calculatorworksheet.zip <SYSTEM32>\ctfmon.exe' (со скрытым окном)
- '%ProgramFiles%\winrar\rar.exe' -ep a <Имя диска съемного носителя>:\price030215.zip <SYSTEM32>\ctfmon.exe' (со скрытым окном)
- '%ProgramFiles%\winrar\rar.exe' -ep a <Имя диска съемного носителя>:\1sm_price.zip <SYSTEM32>\ctfmon.exe' (со скрытым окном)
- '%ProgramFiles%\winrar\rar.exe' -ep a <Имя диска съемного носителя>:\productos.zip <SYSTEM32>\ctfmon.exe' (со скрытым окном)
- '%ProgramFiles%\winrar\rar.exe' -ep a <Имя диска съемного носителя>:\removedtitles_records.zip <SYSTEM32>\ctfmon.exe' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\winrar\rar.exe' -ep a <Имя диска съемного носителя>:\calculatorworksheet.zip <SYSTEM32>\ctfmon.exe
- '%ProgramFiles%\winrar\rar.exe' -ep a <Имя диска съемного носителя>:\price030215.zip <SYSTEM32>\ctfmon.exe
- '%ProgramFiles%\winrar\rar.exe' -ep a <Имя диска съемного носителя>:\1sm_price.zip <SYSTEM32>\ctfmon.exe
- '%ProgramFiles%\winrar\rar.exe' -ep a <Имя диска съемного носителя>:\productos.zip <SYSTEM32>\ctfmon.exe
- '%ProgramFiles%\winrar\rar.exe' -ep a <Имя диска съемного носителя>:\removedtitles_records.zip <SYSTEM32>\ctfmon.exe
