Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'NeroFilterCheck' = '"<SYSTEM32>\NeroCheck.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'UnlockerAssistant' = '"%PROGRAM_FILES%\Unlocker\UnlockerAssistant.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'SunJavaUpdateSched' = '"%CommonProgramFiles%\Java\Java Update\jusched.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'TkBellExe' = '"%CommonProgramFiles%\Real\Update_OB\realsched.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Adobe ARM' = '"%CommonProgramFiles%\Adobe\ARM\1.0\AdobeARM.exe"'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\nircmd.exe' win hide ititle ".exe"
- '<SYSTEM32>\nircmd.exe' killprocess dw20.exe
- '<SYSTEM32>\nircmd.exe' win hide ititle "WinRAR"
- '<SYSTEM32>\nircmd.exe' win hide ititle ".bat"
- '<SYSTEM32>\nircmd.exe' win hide ititle "0.0.0"
- '<SYSTEM32>\nircmd.exe' killprocess werfault.exe
- '<SYSTEM32>\nircmd.exe' setfiletime "%CommonProgramFiles%\Adobe\ARM\1.0\*.*" now now
- '%WINDIR%\Update.exe'
- '<SYSTEM32>\nircmd.exe' setfiletime "%CommonProgramFiles%\Real\Update_OB\*.*" now now
- '<SYSTEM32>\nircmd.exe' setfiletime "%PROGRAM_FILES%\Unlocker\*.*" now now
- '<SYSTEM32>\nircmd.exe' setfiletime "%CommonProgramFiles%\Java\Java Update\*.*" now now
Запускает на исполнение:
- '<SYSTEM32>\tskill.exe' NeroCheck
- '<SYSTEM32>\taskkill.exe' /f /im AdobeARM.exe
- '<SYSTEM32>\tskill.exe' AdobeARM
- '<SYSTEM32>\taskkill.exe' /f /im jusched.exe
- '<SYSTEM32>\tskill.exe' jusched
- '<SYSTEM32>\taskkill.exe' /f /im NeroCheck.exe
- '<SYSTEM32>\tskill.exe' realsched
- '<SYSTEM32>\taskkill.exe' /f /im qttask.exe
- '<SYSTEM32>\tskill.exe' qttask
- '<SYSTEM32>\taskkill.exe' /f /im UnlockerAssistant.exe
- '<SYSTEM32>\tskill.exe' UnlockerAssistant
- '<SYSTEM32>\taskkill.exe' /f /im realsched.exe
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\Unlocker\UnlockerAssistant.exe
- %CommonProgramFiles%\Real\Update_OB\realsched.exe
- %WINDIR%\Update.exe
- <SYSTEM32>\robocopy.exe
- <SYSTEM32>\nircmd.exe
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\$inst\2.tmp
- %CommonProgramFiles%\Java\Java Update\jusched.exe
- <SYSTEM32>\NeroCheck.exe
- %CommonProgramFiles%\Adobe\ARM\1.0\AdobeARM.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %CommonProgramFiles%\Real\Update_OB\realsched.exe
- %PROGRAM_FILES%\Unlocker\UnlockerAssistant.exe
- <SYSTEM32>\NeroCheck.exe
- %CommonProgramFiles%\Java\Java Update\jusched.exe
- %CommonProgramFiles%\Adobe\ARM\1.0\AdobeARM.exe
Удаляет следующие файлы:
- %TEMP%\$inst\2.tmp
- %TEMP%\$inst\temp_0.tmp
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
