Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Classes\Skype.Content\shell\open\command] '' = '"%ProgramFiles(x86)%\Skype\Phone\Skype.exe" /file:"%1"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Skype' = '"%ProgramFiles(x86)%\Skype\Phone\Skype.exe" /minimized /regrun'
- [HKLM\SOFTWARE\Classes\skype\shell\open\command] '' = '"%ProgramFiles(x86)%\Skype\Phone\Skype.exe" "/uri:%1"'
- [HKLM\SOFTWARE\Classes\skype.callto\shell\open\command] '' = '"C:\PROGRA~2\Skype\Phone\Skype.exe" "/callto:%l"'
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im skype.exe /t
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\7zipsfx.000\program files\skype\phone\login.cab
- %WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\metadata\62b5af9be9adc1085c3c56ec07a82bf6
- %APPDATA%\microsoft\windows\sendto\skype.lnk
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\skype\~kype.tmp
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\skype\skype.lnk
- %WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\content\7b8944ba8ad0efdf0e01a43ef62becd0_dbebbb72d7cf896a67503824ff19f0bb
- %WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\metadata\7b8944ba8ad0efdf0e01a43ef62becd0_dbebbb72d7cf896a67503824ff19f0bb
- C:\users\public\desktop\skype.lnk
- %WINDIR%\installer\{1845470b-eb14-4abc-835b-e36c693dc07d}\skypeicon.exe
- %ProgramFiles(x86)%\skype\third-party_attributions.txt
- %ProgramFiles(x86)%\skype\browser\skypebrowserhost.exe
- %CommonProgramFiles(x86)%\skype\skype4com.dll
- %ProgramFiles(x86)%\skype\phone\skype.exe
- %ProgramFiles(x86)%\skype\phone\login.cab
- %WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\content\7d266d9e1e69fa1eefb9699b009b34c8_0a9bfdd75b598c2110cbf610c078e6e6
- %WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\metadata\7d266d9e1e69fa1eefb9699b009b34c8_0a9bfdd75b598c2110cbf610c078e6e6
- %WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\content\8dfdf057024880d7a081afbf6d26b92f
- %WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\metadata\8dfdf057024880d7a081afbf6d26b92f
- %ALLUSERSPROFILE%\skype\sky69ba.tmp
- %TEMP%\7zipsfx.000\program files\skype\redist\skype\skype4com.dll
- %TEMP%\7zipsfx.000\program files\skype\pfiles\skype\browser\skypebrowserhost.exe
- %TEMP%\7zipsfx.000\program files\skype\phone\skype.exe
- %TEMP%\7zipsfx.000\program files\skype\third-party_attributions.txt
- %TEMP%\7zipsfx.000\wainakh.msi
- %WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\content\62b5af9be9adc1085c3c56ec07a82bf6
- %ProgramFiles(x86)%\skype\desktop.ini
Удаляет следующие файлы
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\skype\skype.lnk~rffd1df.tmp
- %ALLUSERSPROFILE%\skype\sky69ba.tmp
- %TEMP%\7zipsfx.000\program files\skype\pfiles\skype\browser\skypebrowserhost.exe
- %TEMP%\7zipsfx.000\program files\skype\phone\login.cab
- %TEMP%\7zipsfx.000\program files\skype\phone\skype.exe
- %TEMP%\7zipsfx.000\program files\skype\redist\skype\skype4com.dll
- %TEMP%\7zipsfx.000\program files\skype\third-party_attributions.txt
- %TEMP%\7zipsfx.000\wainakh.msi
Перемещает следующие файлы
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\skype\skype.lnk в %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\skype\skype.lnk~rffd1df.tmp
Подменяет следующие файлы
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\skype\skype.lnk
Другое
Ищет следующие окна
- ClassName: 'tSkMainForm.UnicodeClass' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\msiexec.exe' /I "wainakh.msi" /qn' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' Add "HKCU\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers" /v "%ProgramFiles(x86)%\Skype\Phone\Skype.exe" /t REG_SZ /d "WINXP" /f' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' Add "HKCU\Software\Skype\Phone\UI" /v "InstallInfo" /t REG_SZ /d "google-toolbar:offered-notinstalled" /f' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' Add "HKCU\Software\Skype\Phone\UI" /v "Installed" /t REG_DWORD /d "0x1" /f' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' Add "HKCU\Software\Skype\Toolbars\Installer" /v "GTDefault" /t REG_DWORD /d "0x0" /f' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' Add "HKCU\Software\Skype\Toolbars\Installer" /v "IEDefault" /t REG_DWORD /d "0x0" /f' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' Add "HKCU\Software\Skype\Toolbars\Installer" /v "FFDefault" /t REG_DWORD /d "0x0" /f' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' Add "HKCU\Software\Skype\Phone\UI\General" /v "Language" /t REG_SZ /d "ru" /f' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im skype.exe /t' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' Delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "Skype" /f' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\msiexec.exe' /I "wainakh.msi" /qn
- '%WINDIR%\syswow64\attrib.exe' +r "%ProgramFiles(x86)%\Skype"
- '%WINDIR%\syswow64\reg.exe' Add "HKCU\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers" /v "%ProgramFiles(x86)%\Skype\Phone\Skype.exe" /t REG_SZ /d "WINXP" /f
- '%WINDIR%\syswow64\reg.exe' Add "HKCU\Software\Skype\Phone\UI" /v "InstallInfo" /t REG_SZ /d "google-toolbar:offered-notinstalled" /f
- '%WINDIR%\syswow64\reg.exe' Add "HKCU\Software\Skype\Phone\UI" /v "Installed" /t REG_DWORD /d "0x1" /f
- '%WINDIR%\syswow64\reg.exe' Add "HKCU\Software\Skype\Toolbars\Installer" /v "GTDefault" /t REG_DWORD /d "0x0" /f
- '%WINDIR%\syswow64\reg.exe' Add "HKCU\Software\Skype\Toolbars\Installer" /v "IEDefault" /t REG_DWORD /d "0x0" /f
- '%WINDIR%\syswow64\reg.exe' Add "HKCU\Software\Skype\Toolbars\Installer" /v "FFDefault" /t REG_DWORD /d "0x0" /f
- '%WINDIR%\syswow64\reg.exe' Add "HKCU\Software\Skype\Phone\UI\General" /v "Language" /t REG_SZ /d "ru" /f
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im skype.exe /t
- '%WINDIR%\syswow64\reg.exe' Delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "Skype" /f
