Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Центр обеспечения безопасности (Security Center)
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /im msspi01.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im hintwh.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im MSSPIR.EXE /f
- '%WINDIR%\syswow64\taskkill.exe' /im shTst1203.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im Hintcount.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im hintHis.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im HintUi01.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im HintUi.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im hintbdinfo.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im hintxxun.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im gameloader.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im hintthd.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im hintaddress.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im shadd05.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im hintxun02.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im hintxun01.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im hintxun.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im daemonu.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im pubwinIE.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im pubwinDock.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im DWTRIG20.EXE /f
- '%WINDIR%\syswow64\taskkill.exe' /im HintISO.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im clientpro.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im WISPTIS.EXE /f
- '%WINDIR%\syswow64\taskkill.exe' /im MDM.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im pubxun.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im spoolsv.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im nvsvc32.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im hintkl.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im hinthis04.exe /f
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\bt28440.bat
- %TEMP%\clsid.reg
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\bt28440.bat
Удаляет следующие файлы
- %TEMP%\clsid.reg
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c %TEMP%\bt28440.bat "<Полный путь к файлу>"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c %TEMP%\bt28440.bat "<Полный путь к файлу>"
- '%WINDIR%\syswow64\reg.exe' delete "HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks" /v {02AC20DD-5548-4CA7-ACCF-18AFE5A4A072} /f
- '%WINDIR%\syswow64\reg.exe' delete HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{02AC20DD-5548-4CA7-ACCF-18AFE5A4A072} /f
- '%WINDIR%\syswow64\reg.exe' delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{02AC20DD-5548-4CA7-ACCF-18AFE5A4A072}" /f
- '%WINDIR%\syswow64\reg.exe' delete HKEY_CLASSES_ROOT\CLSID\{6E28339B-7A2A-47B6-AEB2-40BA53782379} /f
- '%WINDIR%\syswow64\regsvr32.exe' /u /s <SYSTEM32>\Setup\hintbho.dll
- '%WINDIR%\syswow64\reg.exe' delete HKCR\NetCafeHlp.AddrHelper /f
- '%WINDIR%\syswow64\reg.exe' delete HKCR\NetCafeHlp.AddrHelper.1 /f
- '%WINDIR%\syswow64\regini.exe' enable.ini
- '%WINDIR%\syswow64\reg.exe' delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper objects" /va /f
- '%WINDIR%\syswow64\reg.exe' delete HKEY_CLASSES_ROOT\CLSID\{6FC1ED6F-AD79-4A08-8848-7422478227D5} /f
- '%WINDIR%\syswow64\reg.exe' delete HKEY_CLASSES_ROOT\CLSID\{02AC20DD-5548-4CA7-ACCF-18AFE5A4A072} /f
- '%WINDIR%\syswow64\reg.exe' delete HKEY_CLASSES_ROOT\CLSID\{6E28339B-7A2A-47B6-AEB2-46BA53782379} /f
- '%WINDIR%\syswow64\reg.exe' delete HKEY_CLASSES_ROOT\CLSID\{3AAAC406-33BC-48C9-A583-346888149C70} /f
- '%WINDIR%\syswow64\reg.exe' delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Explorer Bars" /va /f
- '%WINDIR%\syswow64\reg.exe' delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions" /va /f
- '%WINDIR%\syswow64\regsvr32.exe' /u /s so.dll
- '%WINDIR%\syswow64\findstr.exe' /nie HintBrowseA "%TEMP%\CLSID.reg"
- '%WINDIR%\syswow64\cmd.exe' /c findstr /nie HintBrowseA "%TEMP%\CLSID.reg"
- '%WINDIR%\syswow64\sc.exe' config Spooler start= disabled
- '%WINDIR%\syswow64\sc.exe' stop Spooler
- '%WINDIR%\syswow64\sc.exe' config NVSvc start= demand
- '%WINDIR%\syswow64\sc.exe' config NVSvc start= disabled
- '%WINDIR%\syswow64\sc.exe' stop NVSvc
- '%WINDIR%\syswow64\sc.exe' config wscsvc start= demand
- '%WINDIR%\syswow64\sc.exe' config Spooler start= demand
- '%WINDIR%\syswow64\sc.exe' config wscsvc start= disabled
- '%WINDIR%\syswow64\sc.exe' config TermService start= demand
- '%WINDIR%\syswow64\sc.exe' config TermService start= disabled
- '%WINDIR%\syswow64\sc.exe' stop TermService
- '%WINDIR%\syswow64\net.exe' user UpdatusUser /active:no
- '%WINDIR%\syswow64\net1.exe' user UpdatusUser /active:no
- '%WINDIR%\syswow64\reg.exe' query HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID /s
- '%WINDIR%\syswow64\sc.exe' stop wscsvc
- '%WINDIR%\syswow64\reg.exe' delete HKEY_CLASSES_ROOT\CLSID\{0C231905-59C9-491F-86F6-D39231CEBD9E} /f
- '%WINDIR%\syswow64\reg.exe' delete HKEY_CLASSES_ROOT\CLSID\{0C22CEF4-C86C-43BE-AA9B-E4CF2A1E7A1A} /f
