Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Classes\htafile\Shell\Open\Command] '' = '<SYSTEM32>\mshta.exe "%1" %*'
- [<HKLM>\Software\Classes\wcsfile\shell\open\command] '' = 'PECMD.EXE LOAD "%L"'
Вредоносные функции
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\regedit.exe
- <SYSTEM32>\wbem\mofcomp.exe
- <SYSTEM32>\ntprint.exe
- <SYSTEM32>\net.exe
- <SYSTEM32>\pnputil.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\libraries\~ecordedtv.tmp
- %WINDIR%\boot_usb
- %APPDATA%\microsoft\windows\start menu\programs\devices and printers\add printer wizard.lnk
- %APPDATA%\microsoft\windows\start menu\programs\devices and printers\add printer driver.lnk
- %APPDATA%\microsoft\windows\start menu\programs\devices and printers\print server properties.lnk
- %HOMEPATH%\desktop\add printer wizard.lnk
Изменяет следующие файлы
- C:\users\public\desktop\desktop.ini
- C:\users\public\desktop.ini
- C:\users\desktop.ini
- C:\users\public\music\sample music\desktop.ini
- C:\users\public\documents\desktop.ini
- C:\users\public\libraries\desktop.ini
- C:\users\public\downloads\desktop.ini
- C:\users\public\videos\sample videos\desktop.ini
- C:\users\public\pictures\sample pictures\desktop.ini
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\desktop.ini
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\administrative tools\desktop.ini
- C:\users\public\music\desktop.ini
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\desktop.ini
- C:\users\public\pictures\desktop.ini
- C:\users\public\videos\desktop.ini
- %ALLUSERSPROFILE%\microsoft\windows\start menu\desktop.ini
- %ProgramFiles(x86)%\desktop.ini
Подменяет следующие файлы
- C:\Users\Public\Libraries\RecordedTV.library-ms
Другое
Ищет следующие окна
- ClassName: 'RegEdit_RegEdit' WindowName: ''
Создает и запускает на исполнение
- '<Полный путь к файлу>' LOAD *qk #20:INDATA U 32768' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C ren Run.dll Run.cmd' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C ren Config.dll Config.cmd' (со скрытым окном)
- '%WINDIR%\regedit.exe' /s %WINDIR%\Inf\Usb1.inf' (со скрытым окном)
- '%WINDIR%\regedit.exe' /s Mouseadd.sys' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c echo Copyright@NasiBoot 2022>%WINDIR%\Boot_USB' (со скрытым окном)
- '<SYSTEM32>\wbem\mofcomp.exe' <SYSTEM32>\wbem\win32_printer.mof >null' (со скрытым окном)
- '<SYSTEM32>\wbem\mofcomp.exe' <SYSTEM32>\wbem\PrintManagementProvider.mof >null' (со скрытым окном)
- '<SYSTEM32>\net.exe' start spooler' (со скрытым окном)
- '<SYSTEM32>\msiexec.exe' /register' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C ren Config.CMD Config.dll' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C ren Run.CMD Run.DLL' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C ren Run.dll Run.cmd
- '<SYSTEM32>\cmd.exe' /C ren Config.dll Config.cmd
- '%WINDIR%\regedit.exe' /s %WINDIR%\Inf\Usb1.inf
- '%WINDIR%\regedit.exe' /s Mouseadd.sys
- '%WINDIR%\regedit.exe' /s %ProgramFiles(x86)%\Classic Shell\StartMenu.dll
- '<SYSTEM32>\cmd.exe' /c echo Copyright@NasiBoot 2022>%WINDIR%\Boot_USB
- '<SYSTEM32>\wbem\mofcomp.exe' <SYSTEM32>\wbem\win32_printer.mof >null
- '<SYSTEM32>\wbem\mofcomp.exe' <SYSTEM32>\wbem\PrintManagementProvider.mof >null
- '<SYSTEM32>\ntprint.exe'
- '<SYSTEM32>\net.exe' start spooler
- '<SYSTEM32>\net1.exe' start spooler
- '<SYSTEM32>\pnputil.exe' -i -a "%WINDIR%\inf\usbprint.inf"
- '<SYSTEM32>\msiexec.exe' /register
- '<SYSTEM32>\cmd.exe' /C ren Config.CMD Config.dll
- '<SYSTEM32>\cmd.exe' /C ren Run.CMD Run.DLL
