Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WUDFHost' = '"C:\MSOCache\All Users\{90140000-002C-0409-1000-0000000FF1CE}-C\Proof.fr\WUDFHost.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'WUDFHost' = '"C:\MSOCache\All Users\{90140000-002C-0409-1000-0000000FF1CE}-C\Proof.fr\WUDFHost.exe"'
- [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\MSOCache\All Users\{90140000-002C-0409-1000-0000000FF1CE}-C\Proof.fr\WUDFHost.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'wininit' = '"C:\MSOCache\All Users\{90140000-0115-0409-1000-0000000FF1CE}-C\wininit.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'wininit' = '"C:\MSOCache\All Users\{90140000-0115-0409-1000-0000000FF1CE}-C\wininit.exe"'
- [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\MSOCache\All Users\{90140000-002C-0409-1000-0000000FF1CE}-C\Proof.fr\WUDFHost.exe", "C:\MSOCache\All Us...
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'csrss' = '"%ProgramFiles(x86)%\Microsoft Office\Office14\1033\csrss.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'csrss' = '"%ProgramFiles(x86)%\Microsoft Office\Office14\1033\csrss.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'lsass' = '"C:\Recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\lsass.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'lsass' = '"C:\Recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\lsass.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'rundll32' = '"%ProgramFiles%\Mozilla Thunderbird\isp\rundll32.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'rundll32' = '"%ProgramFiles%\Mozilla Thunderbird\isp\rundll32.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '"<Полный путь к файлу>"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '"<Полный путь к файлу>"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\wudfhostw
- <SYSTEM32>\tasks\wudfhost
- <SYSTEM32>\tasks\wininitw
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\07ee58507f39a0
- %ProgramFiles%\mozilla thunderbird\isp\rundll32.exe
- %ProgramFiles%\mozilla thunderbird\isp\3d4d5fa006b533
- C:\recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\lsass.exe
- C:\recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\6203df4a6bafc7
- %ProgramFiles(x86)%\microsoft office\office14\1033\csrss.exe
- %ProgramFiles(x86)%\microsoft office\office14\1033\886983d96e3d3e
- C:\msocache\all users\{90140000-0115-0409-1000-0000000ff1ce}-c\wininit.exe
- C:\msocache\all users\{90140000-0115-0409-1000-0000000ff1ce}-c\56085415360792
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.fr\wudfhost.exe
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.fr\480b7989c529f6
- %TEMP%\25s5lihu.0.cs
- %TEMP%\25s5lihu.cmdline
- %TEMP%\25s5lihu.out
- %TEMP%\aqnwywrwqn
- %TEMP%\mdzhosxaz6.bat
Удаляет следующие файлы
- %TEMP%\25s5lihu.cmdline
- %TEMP%\25s5lihu.0.cs
- %TEMP%\25s5lihu.out
- %TEMP%\aqnwywrwqn
Перемещает следующие файлы
- %ProgramFiles%\microsoft office\office14\bcssync.exe в %ProgramFiles%\microsoft office\office14\bcssync.exe.exe
Другое
Создает и запускает на исполнение
- 'C:\recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\lsass.exe'
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\MDZhoSxAZ6.bat"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\25s5lihu.cmdline"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /tn "WUDFHostW" /sc MINUTE /mo 6 /tr "'C:\MSOCache\All Users\{90140000-002C-0409-1000-0000000FF1CE}-C\Proof.fr\WUDFHost.exe'" /f
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\MDZhoSxAZ6.bat"
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>j" /sc MINUTE /mo 11 /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>" /sc ONLOGON /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>j" /sc MINUTE /mo 12 /tr "'<Полный путь к файлу>'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "rundll32r" /sc MINUTE /mo 10 /tr "'%ProgramFiles%\Mozilla Thunderbird\isp\rundll32.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "rundll32" /sc ONLOGON /tr "'%ProgramFiles%\Mozilla Thunderbird\isp\rundll32.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "rundll32r" /sc MINUTE /mo 12 /tr "'%ProgramFiles%\Mozilla Thunderbird\isp\rundll32.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "lsassl" /sc MINUTE /mo 8 /tr "'C:\Recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\lsass.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "lsass" /sc ONLOGON /tr "'C:\Recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\lsass.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "lsassl" /sc MINUTE /mo 11 /tr "'C:\Recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\lsass.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 13 /tr "'%ProgramFiles(x86)%\Microsoft Office\Office14\1033\csrss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Microsoft Office\Office14\1033\csrss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 11 /tr "'%ProgramFiles(x86)%\Microsoft Office\Office14\1033\csrss.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "wininitw" /sc MINUTE /mo 5 /tr "'C:\MSOCache\All Users\{90140000-0115-0409-1000-0000000FF1CE}-C\wininit.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "wininit" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90140000-0115-0409-1000-0000000FF1CE}-C\wininit.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "wininitw" /sc MINUTE /mo 8 /tr "'C:\MSOCache\All Users\{90140000-0115-0409-1000-0000000FF1CE}-C\wininit.exe'" /f
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\25s5lihu.cmdline"
- '<SYSTEM32>\schtasks.exe' /create /tn "WUDFHostW" /sc MINUTE /mo 11 /tr "'C:\MSOCache\All Users\{90140000-002C-0409-1000-0000000FF1CE}-C\Proof.fr\WUDFHost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "WUDFHost" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90140000-002C-0409-1000-0000000FF1CE}-C\Proof.fr\WUDFHost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\ping.exe' -n 10 localhost
