Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\QQDoctor.exe] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMon.exe] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Ras.exe] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SREng.EXE] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\runiep.exe] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Safe.exe] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\adam.exe] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\iparmo.exe] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PFWLiveUpdate.exe] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PFW.exe] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\NOD32.exe] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\EGHOST.exe] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.com] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.com] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.com] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Rav.exe] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KRegEx.exe] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.exe] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'tfidma' = '<SYSTEM32>\severe.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'adamrf' = '<SYSTEM32>\tfidma.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MagicSet.exe] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'Explorer.exe <DRIVERS>\conime.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mmsk.exe] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\IceSword.exe] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kabaload.exe] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\WoptiClean.exe] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvXP.kxp] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvDetect.exe] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVMonXP.kxp] 'Debugger' = '<DRIVERS>\adamrf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TrojDie.kxp] 'Debugger' = '<DRIVERS>\adamrf.exe'
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\ГАЕ®УОП·.pif
- <Имя диска съемного носителя>:\autorun.inf
- <Имя диска съемного носителя>:\OSO.exe
- <Имя диска съемного носителя>:\ЦШТЄЧКБП.exe
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
Создает и запускает на исполнение:
- '<SYSTEM32>\severe.exe'
- '<SYSTEM32>\tfidma.exe'
Запускает на исполнение:
- '<SYSTEM32>\net1.exe' stop sharedaccess
- '<SYSTEM32>\net.exe' stop sharedaccess
- '<SYSTEM32>\net.exe' stop KVWSC
- '<SYSTEM32>\net1.exe' stop KVWSC
- '<SYSTEM32>\sc.exe' config KVWSC start= disabled
- '<SYSTEM32>\ping.exe' ** localhost
- '<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\hx1.bat" "
- '<SYSTEM32>\net.exe' stop srservice
- '<SYSTEM32>\sc.exe' config srservice start= disabled
- '<SYSTEM32>\net1.exe' stop srservice
Устанавливает процедуры перхвата сообщений
о нажатии клавиш клавиатуры:
- Библиотека-обработчик для всех процессов: <SYSTEM32>\tfidma.dll
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\hx1.bat
- <SYSTEM32>\tfidma.dll
- <SYSTEM32>\noruns.reg
- <DRIVERS>\conime.exe
- <SYSTEM32>\severe.exe
- <SYSTEM32>\tfidma.exe
- <DRIVERS>\adamrf.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <Имя диска съемного носителя>:\autorun.inf
- <Имя диска съемного носителя>:\OSO.exe
Удаляет следующие файлы:
- <DRIVERS>\conime.exe
- <DRIVERS>\adamrf.exe
Другое:
Ищет следующие окна:
- ClassName: '#32770' WindowName: '??????????????????'
- ClassName: '' WindowName: ''
