Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Classes\Opera.HTML\shell\open\command] '' = '%ProgramFiles%\Opera\launcher.exe http://www.2345.com/?knetboy365'
- [HKCU\Software\Classes\Opera.HTTP\shell\open\command] '' = '%ProgramFiles%\Opera\launcher.exe http://www.2345.com/?knetboy365'
- [HKCU\Software\Classes\Opera.HTTPS\shell\open\command] '' = '%ProgramFiles%\Opera\launcher.exe https://www.2345.com/?knetboy365'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,%WINDIR%\CleanTemp.exe'
Вредоносные функции
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c rd /s /q "%USERPROFILE%\AppData\Local\Temp"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c rd /s /q "%LOCALAPPDATA%\Microsoft\Windows\<INETFILES>"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c rd /s /q "%USERPROFILE%\AppData\Local\Microsoft\Windows\<INETFILES>"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c rd /s /q "%USERPROFILE%\AppData\Local\Temp"
- '<SYSTEM32>\cmd.exe' /c rd /s /q "%LOCALAPPDATA%\Microsoft\Windows\<INETFILES>"
- '<SYSTEM32>\cmd.exe' /c rd /s /q "%USERPROFILE%\AppData\Local\Microsoft\Windows\<INETFILES>"
