Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Classes\.exe] '' = 'exefile'
- [HKLM\Software\Classes\exefile\shell\open\command] '' = '"%1" %*'
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\net.exe' STOP Follower
- '%WINDIR%\syswow64\net.exe' STOP smmservice
- '%WINDIR%\syswow64\net.exe' STOP ITGrdEngine
- '%WINDIR%\syswow64\net.exe' STOP AntipPro2009_100
- '%WINDIR%\syswow64\net.exe' STOP WDefend
- '%WINDIR%\syswow64\net.exe' STOP AntiPol
- '%WINDIR%\syswow64\net.exe' STOP AntipPro2009_12
- '%WINDIR%\syswow64\net.exe' STOP HTGrdEngine
- '%WINDIR%\syswow64\net.exe' STOP XPAntivirusFilter
- '%WINDIR%\syswow64\net.exe' STOP AntipWinsx32_
- '%WINDIR%\syswow64\net.exe' STOP AdbUpd
- '%WINDIR%\syswow64\net.exe' STOP userinit
- '%WINDIR%\syswow64\net.exe' STOP CbEvtSvc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx0\wl.txt
- %TEMP%\rkill.log
- %TEMP%\rarsfx0\ncmd.cfxxe
- %TEMP%\rks1.log
- %TEMP%\rarsfx0\rkill.reg
- %TEMP%\rarsfx0\serv.dat
- %TEMP%\rarsfx0\procs\proc.dat
- %TEMP%\rarsfx0\extra.dat
- %TEMP%\rarsfx0\nircmd.chm
- %TEMP%\rarsfx0\swreg.exe
- %TEMP%\osname.txt
- %TEMP%\rarsfx0\sed.exe
- %TEMP%\rarsfx0\nircmdc.exe
- %TEMP%\rarsfx0\nircmd.exe
- %TEMP%\rarsfx0\procs\iexplore.exe
- %TEMP%\rarsfx0\nird\iexplore.exe
- %TEMP%\rarsfx0\h\iexplore.exe
- %TEMP%\rarsfx0\hidec.exe
- %TEMP%\rarsfx0\grep.exe
- %TEMP%\rarsfx0\rkill.bat
- %TEMP%\rarsfx0\prep.bat
- %TEMP%\rarsfx0\pev.exe
- C:\rkill.log
Удаляет следующие файлы
- %TEMP%\rarsfx0\ncmd.cfxxe
- %TEMP%\osname.txt
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\rarsfx0\h\iexplore.exe' procs\iexplore.exe plist %TEMP%\rks1.log
- '%TEMP%\rarsfx0\h\iexplore.exe' procs\iexplore.exe -k "%HOMEPATH%\*" and not "<Полный путь к файлу>"
- '%TEMP%\rarsfx0\h\iexplore.exe' procs\iexplore.exe
- '%TEMP%\rarsfx0\swreg.exe' query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion" /v ProductName
- '%TEMP%\rarsfx0\h\iexplore.exe' procs\iexplore.exe -k antispyshield.exe
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k antispyshield.exe
- '%TEMP%\rarsfx0\h\iexplore.exe' procs\iexplore.exe -k * -preg#\\[0-9]+\.exe$#
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k * -preg#\\[0-9]+\.exe$#
- '%TEMP%\rarsfx0\h\iexplore.exe' procs\iexplore.exe -k *sysguard.exe
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k *sysguard.exe
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k *sftav.exe
- '%TEMP%\rarsfx0\h\iexplore.exe' procs\iexplore.exe -k *onin.exe
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k "%HOMEPATH%\*" and not "<Полный путь к файлу>"
- '%TEMP%\rarsfx0\h\iexplore.exe' procs\iexplore.exe -k "antivirus plus*"
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k *onin.exe
- '%TEMP%\rarsfx0\procs\iexplore.exe' -loadline"extra.dat" and not "<Полный путь к файлу>"
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k "*.tmp.exe"
- '%TEMP%\rarsfx0\h\iexplore.exe' procs\iexplore.exe -k "*.tmp.exe"
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k "%TEMP%\*.bat"
- '%TEMP%\rarsfx0\h\iexplore.exe' procs\iexplore.exe -k "%TEMP%\*.bat"
- '%TEMP%\rarsfx0\h\iexplore.exe' procs\iexplore.exe -loadline"extra.dat" and not "<Полный путь к файлу>"
- '%TEMP%\rarsfx0\h\iexplore.exe' procs\iexplore.exe -k "%TEMP%\*.exe" and not "<Полный путь к файлу>"
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k :\Program Files\AntiVirus Plus\*.exe
- '%TEMP%\rarsfx0\h\iexplore.exe' procs\iexplore.exe -k :\Program Files\AntiVirus Plus\*.exe
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k "antivirus plus*"
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k "%TEMP%\*.exe" and not "<Полный путь к файлу>"
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k "%ALLUSERSPROFILE%\*"
- '%TEMP%\rarsfx0\h\iexplore.exe' prep.bat
- '%TEMP%\rarsfx0\h\iexplore.exe' procs\iexplore.exe -k *sftav.exe
- '%TEMP%\rarsfx0\procs\iexplore.exe'
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k restore.exe
- '%TEMP%\rarsfx0\sed.exe' "/.*\t/!d;s///"
- '%TEMP%\rarsfx0\h\iexplore.exe' procs\iexplore.exe -k "C:\NetworkControl\*.exe"
- '%TEMP%\rarsfx0\procs\iexplore.exe' RIMPORT rkill.reg
- '%TEMP%\rarsfx0\nird\iexplore.exe' win close stitle "Security Central"
- '%TEMP%\rarsfx0\nird\iexplore.exe' win close stitle "Enterprise Suite"
- '%TEMP%\rarsfx0\h\iexplore.exe' procs\iexplore.exe -k "%HOMEPATH%\local settings\application data\*.exe"
- '%TEMP%\rarsfx0\h\iexplore.exe' procs\iexplore.exe -k restore.exe
- '%TEMP%\rarsfx0\nird\iexplore.exe' win close stitle "Security Tool"
- '%TEMP%\rarsfx0\nird\iexplore.exe' win close stitle "Virus Protection"
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k "C:\NetworkControl\*.exe"
- '%TEMP%\rarsfx0\nird\iexplore.exe' win close stitle "Antivirus Soft"
- '%TEMP%\rarsfx0\h\iexplore.exe' procs\iexplore.exe RIMPORT rkill.reg
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k "%HOMEPATH%\local settings\application data\*.exe"
- '%TEMP%\rarsfx0\h\iexplore.exe' procs\iexplore.exe -k "%TEMP%\*"
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k "%TEMP%\*"
- '%TEMP%\rarsfx0\h\iexplore.exe' procs\iexplore.exe -k "%ALLUSERSPROFILE%\*"
- '%TEMP%\rarsfx0\procs\iexplore.exe' plist %TEMP%\rks1.log
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k smss32.exe
- '%TEMP%\rarsfx0\nird\iexplore.exe' win close stitle "Smart Security"
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k winlogon32.exe
- '%TEMP%\rarsfx0\h\iexplore.exe' procs\iexplore.exe -k smss32.exe
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k *tssd.exe
- '%TEMP%\rarsfx0\nird\iexplore.exe' win close stitle "Antivirus Suite"
- '%TEMP%\rarsfx0\h\iexplore.exe' procs\iexplore.exe -k *tssd.exe
- '%TEMP%\rarsfx0\nird\iexplore.exe' win close stitle "Security essentials"
- '%TEMP%\rarsfx0\h\iexplore.exe' procs\iexplore.exe -k winlogon32.exe
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k "antivirus plus*"' (со скрытым окном)
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k :\Program Files\AntiVirus Plus\*.exe' (со скрытым окном)
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k "%TEMP%\*.exe" and not "<Полный путь к файлу>"' (со скрытым окном)
- '%TEMP%\rarsfx0\procs\iexplore.exe' ' (со скрытым окном)
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k "%TEMP%\*.bat"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c prep.bat' (со скрытым окном)
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k "*.tmp.exe"' (со скрытым окном)
- '%TEMP%\rarsfx0\procs\iexplore.exe' -loadline"extra.dat" and not "<Полный путь к файлу>"' (со скрытым окном)
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k smss32.exe' (со скрытым окном)
- '%TEMP%\rarsfx0\procs\iexplore.exe' RIMPORT rkill.reg' (со скрытым окном)
- '%TEMP%\rarsfx0\procs\iexplore.exe' plist %TEMP%\rks1.log' (со скрытым окном)
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k antispyshield.exe' (со скрытым окном)
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k "C:\NetworkControl\*.exe"' (со скрытым окном)
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k *sysguard.exe' (со скрытым окном)
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k * -preg#\\[0-9]+\.exe$#' (со скрытым окном)
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k "%TEMP%\*"' (со скрытым окном)
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k *tssd.exe' (со скрытым окном)
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k winlogon32.exe' (со скрытым окном)
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k "%ALLUSERSPROFILE%\*"' (со скрытым окном)
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k restore.exe' (со скрытым окном)
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k *sftav.exe' (со скрытым окном)
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k *onin.exe' (со скрытым окном)
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k "%HOMEPATH%\local settings\application data\*.exe"' (со скрытым окном)
- '%TEMP%\rarsfx0\procs\iexplore.exe' -k "%HOMEPATH%\*" and not "<Полный путь к файлу>"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c prep.bat
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\RarSFX0\rkill.bat" "
- '%WINDIR%\syswow64\ping.exe' -n 35 127.0.0.1
- '%WINDIR%\syswow64\net1.exe' STOP Follower
- '%WINDIR%\syswow64\net1.exe' STOP smmservice
- '%WINDIR%\syswow64\net1.exe' STOP ITGrdEngine
- '%WINDIR%\syswow64\net1.exe' STOP AntipPro2009_100
- '%WINDIR%\syswow64\net1.exe' STOP WDefend
- '%WINDIR%\syswow64\net1.exe' STOP AntiPol
- '%WINDIR%\syswow64\net1.exe' STOP AntipPro2009_12
- '%WINDIR%\syswow64\net1.exe' STOP HTGrdEngine
- '%WINDIR%\syswow64\net1.exe' STOP XPAntivirusFilter
- '%WINDIR%\syswow64\net1.exe' STOP AntipWinsx32_
- '%WINDIR%\syswow64\net1.exe' STOP AdbUpd
- '%WINDIR%\syswow64\net1.exe' STOP userinit
- '%WINDIR%\syswow64\net1.exe' STOP CbEvtSvc
