Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\SharedAccess] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\stisvc] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\PlugPlay] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\dot3svc] 'Start' = '00000002'
Вредоносные функции
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\2345网站导航.url
- %TEMP%\aut5265.tmp
- %WINDIR%\syswow64\dumpedid.exe
- %TEMP%\aut5264.tmp
- %WINDIR%\syswow64\mt.exe
- %TEMP%\aut5244.tmp
- %WINDIR%\fw.bat
- %TEMP%\aut13a2.tmp
- %WINDIR%\小键盘.exe
- %TEMP%\aut13a1.tmp
- %WINDIR%\numlock.exe
- %TEMP%\aut1390.tmp
- %WINDIR%\快速设定分辨率.exe
- %TEMP%\aut1332.tmp
- C:\documents and settings\all users\favorites\链接\2345网站导航.url
- C:\documents and settings\all users\favorites\2345网站导航.url
- C:\documents and settings\administrator\favorites\链接\2345网站导航.url
- C:\documents and settings\administrator\favorites\2345网站导航.url
- %WINDIR%\syswow64\setres.exe
- %WINDIR%\syswow64\mt.ini
Удаляет следующие файлы
- <Текущая директория>\2345网站导航.url
- %TEMP%\aut1332.tmp
- %TEMP%\aut1390.tmp
- %TEMP%\aut13a1.tmp
- %TEMP%\aut13a2.tmp
- %TEMP%\aut5244.tmp
- %TEMP%\aut5264.tmp
- %TEMP%\aut5265.tmp
- %WINDIR%\syswow64\mt.exe
- %WINDIR%\syswow64\dumpedid.exe
- %WINDIR%\syswow64\setres.exe
- %WINDIR%\fw.bat
- %WINDIR%\小键盘.exe
- %WINDIR%\快速设定分辨率.exe
- %WINDIR%\numlock.exe
Самоудаляется.
Другое
Создает и запускает на исполнение
- '%WINDIR%\numlock.exe'
- '%WINDIR%\小键盘.exe'
- '%WINDIR%\快速设定分辨率.exe'
- '%WINDIR%\syswow64\mt.exe' /out
- '%WINDIR%\syswow64\dumpedid.exe'
- '%WINDIR%\syswow64\setres.exe' 1024 768 60
- '%WINDIR%\syswow64\cmd.exe' /c %WINDIR%\fw.bat' (со скрытым окном)
- '%WINDIR%\syswow64\mt.exe' /out' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c "dumpedid.exe | find /c "Display Gamma ""' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c "dumpedid.exe | find /c "Image Size :""' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c "dumpedid.exe | find /c "Vertical Frequency""' (со скрытым окном)
- '%WINDIR%\syswow64\setres.exe' 1024 768 60' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 -n 3&del /q "<Полный путь к файлу>"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c %WINDIR%\fw.bat
- '%WINDIR%\syswow64\find.exe' /c "Vertical Frequency"
- '%WINDIR%\syswow64\cmd.exe' /c "dumpedid.exe | find /c "Vertical Frequency""
- '%WINDIR%\syswow64\find.exe' /c "Image Size :"
- '%WINDIR%\syswow64\cmd.exe' /c "dumpedid.exe | find /c "Image Size :""
- '%WINDIR%\syswow64\find.exe' /c "Display Gamma "
- '%WINDIR%\syswow64\cmd.exe' /c "dumpedid.exe | find /c "Display Gamma ""
- '%WINDIR%\syswow64\net1.exe' start dot3svc
- '%WINDIR%\syswow64\net.exe' start dot3svc
- '%WINDIR%\syswow64\sc.exe' config dot3svc start= AUTO
- '%WINDIR%\syswow64\net1.exe' start PlugPlay
- '%WINDIR%\syswow64\net.exe' start PlugPlay
- '%WINDIR%\syswow64\sc.exe' config PlugPlay start= AUTO
- '%WINDIR%\syswow64\net1.exe' start wzcsvc
- '%WINDIR%\syswow64\net.exe' start wzcsvc
- '%WINDIR%\syswow64\sc.exe' config wzcsvc start= AUTO
- '%WINDIR%\syswow64\net1.exe' start STISVC
- '%WINDIR%\syswow64\net.exe' start STISVC
- '%WINDIR%\syswow64\sc.exe' config STISVC start= AUTO
- '%WINDIR%\syswow64\net1.exe' start SharedAccess
- '%WINDIR%\syswow64\net.exe' start SharedAccess
- '%WINDIR%\syswow64\sc.exe' config SharedAccess start= AUTO
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 -n 3&del /q "<Полный путь к файлу>"
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
