Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'startminered' = '"%APPDATA%\Sistem\startminered.lnk"'
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ftpgood' = '"%APPDATA%\Sistem\ftpgood.lnk"'
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'start' = '"%APPDATA%\Sistem\start.lnk"'
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\sistem\api.class
- %APPDATA%\sistem\librtmp.dll
- %APPDATA%\sistem\libssh2.dll
- %APPDATA%\sistem\libusb-1.0.dll
- %APPDATA%\sistem\linux-usb-cgminer.txt
- %APPDATA%\sistem\miner.php
- %APPDATA%\sistem\news.txt
- %APPDATA%\sistem\opera.ico
- %APPDATA%\sistem\phatk121016.cl
- %APPDATA%\sistem\poclbm130302.cl
- %APPDATA%\sistem\poisk1.lnk
- %APPDATA%\sistem\poisk1.bat
- %APPDATA%\sistem\pthreadgc2.dll
- %APPDATA%\sistem\copying.txt
- %APPDATA%\sistem\readme
- %APPDATA%\sistem\scrypt130511.cl
- %APPDATA%\sistem\scrypt-readme.txt
- %APPDATA%\sistem\services.exe
- %APPDATA%\sistem\smg.bat
- %APPDATA%\sistem\solidcoin-reaper.cl
- %APPDATA%\sistem\ssleay32.dll
- %APPDATA%\sistem\start.lnk
- %APPDATA%\sistem\start.bat
- %APPDATA%\sistem\startminered.lnk
- %APPDATA%\sistem\startminered.bat
- %APPDATA%\sistem\windows-build.txt
- %APPDATA%\sistem\zlib1.dll
- %APPDATA%\sistem\libidn-11.dll
- %APPDATA%\sistem\libpdcurses.dll
- %APPDATA%\sistem\libeay32.dll
- %APPDATA%\sistem\libcurl.dll
- %APPDATA%\sistem\libcurl-4.dll
- %APPDATA%\sistem\api-example.php
- %APPDATA%\sistem\api-example.py
- %APPDATA%\sistem\api-readme.txt
- %APPDATA%\sistem\as.bat
- %APPDATA%\sistem\asic-readme.txt
- %APPDATA%\sistem\authors.txt
- %APPDATA%\sistem\auto.lnk
- %APPDATA%\sistem\auto2.bat
- %APPDATA%\sistem\auto.bat
- %APPDATA%\sistem\avp.exe
- %APPDATA%\sistem\cgminer-nogpu.exe
- %APPDATA%\sistem\changelog
- %APPDATA%\1\1\sys
- %APPDATA%\sistem\readme.txt
- %APPDATA%\sistem\changelog.txt
- %APPDATA%\sistem\diakgcn121016.cl
- %APPDATA%\sistem\example.conf
- %APPDATA%\sistem\fpga-readme.txt
- %APPDATA%\sistem\ftpgood.lnk
- %APPDATA%\sistem\ftpgood.cmd
- %APPDATA%\sistem\fullgrab.lnk
- %APPDATA%\sistem\fullgrab.bat
- %APPDATA%\sistem\fullgrabstart.bat
- %APPDATA%\sistem\fullgrabt.lnk
- %APPDATA%\sistem\gpu-readme.txt
- %APPDATA%\sistem\hidcon.exe
- %APPDATA%\sistem\hidcon.map
- %APPDATA%\sistem\api-example.c
- %APPDATA%\sistem\diablo130302.cl
- %APPDATA%\2\1\sys
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\sistem\api.class
- %APPDATA%\sistem\libpdcurses.dll
- %APPDATA%\sistem\librtmp.dll
- %APPDATA%\sistem\libssh2.dll
- %APPDATA%\sistem\libusb-1.0.dll
- %APPDATA%\sistem\linux-usb-cgminer.txt
- %APPDATA%\sistem\miner.php
- %APPDATA%\sistem\news.txt
- %APPDATA%\sistem\opera.ico
- %APPDATA%\sistem\phatk121016.cl
- %APPDATA%\sistem\poclbm130302.cl
- %APPDATA%\sistem\poisk1.lnk
- %APPDATA%\sistem\libeay32.dll
- %APPDATA%\sistem\libidn-11.dll
- %APPDATA%\sistem\poisk1.bat
- %APPDATA%\sistem\readme.txt
- %APPDATA%\sistem\scrypt130511.cl
- %APPDATA%\sistem\scrypt-readme.txt
- %APPDATA%\sistem\services.exe
- %APPDATA%\sistem\smg.bat
- %APPDATA%\sistem\solidcoin-reaper.cl
- %APPDATA%\sistem\ssleay32.dll
- %APPDATA%\sistem\start.lnk
- %APPDATA%\sistem\start.bat
- %APPDATA%\sistem\startminered.lnk
- %APPDATA%\sistem\startminered.bat
- %APPDATA%\sistem\pthreadgc2.dll
- %APPDATA%\sistem\readme
- %APPDATA%\sistem\libcurl.dll
- %APPDATA%\sistem\libcurl-4.dll
- %APPDATA%\sistem\hidcon.map
- %APPDATA%\sistem\api-example.php
- %APPDATA%\sistem\api-example.py
- %APPDATA%\sistem\api-readme.txt
- %APPDATA%\sistem\as.bat
- %APPDATA%\sistem\asic-readme.txt
- %APPDATA%\sistem\authors.txt
- %APPDATA%\sistem\auto.lnk
- %APPDATA%\sistem\auto2.bat
- %APPDATA%\sistem\auto.bat
- %APPDATA%\sistem\avp.exe
- %APPDATA%\sistem\cgminer-nogpu.exe
- %APPDATA%\sistem\changelog
- %APPDATA%\sistem\api-example.c
- %APPDATA%\sistem\changelog.txt
- %APPDATA%\sistem\diablo130302.cl
- %APPDATA%\sistem\diakgcn121016.cl
- %APPDATA%\sistem\example.conf
- %APPDATA%\sistem\fpga-readme.txt
- %APPDATA%\sistem\ftpgood.lnk
- %APPDATA%\sistem\ftpgood.cmd
- %APPDATA%\sistem\fullgrab.lnk
- %APPDATA%\sistem\fullgrab.bat
- %APPDATA%\sistem\fullgrabstart.bat
- %APPDATA%\sistem\fullgrabt.lnk
- %APPDATA%\sistem\gpu-readme.txt
- %APPDATA%\sistem\hidcon.exe
- %APPDATA%\sistem\copying.txt
- %APPDATA%\sistem\windows-build.txt
- %APPDATA%\sistem\zlib1.dll
Удаляет следующие файлы
- %APPDATA%\1\1\sys
- %APPDATA%\2\1\sys
Сетевая активность
UDP
- DNS ASK vi##tail.ru
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%APPDATA%\sistem\hidcon.exe' "auto.bat"
- '%APPDATA%\sistem\hidcon.exe' "fullgrab.bat"
- '%APPDATA%\sistem\hidcon.exe' "poisk1.bat"
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c auto.bat (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' DELETE "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "nod32kui" /f
- '%WINDIR%\syswow64\reg.exe' DELETE "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "egui" /f
- '%WINDIR%\syswow64\reg.exe' DELETE "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "AVP" /f
- '%WINDIR%\syswow64\reg.exe' DELETE "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "SpIDerNT" /f
- '%WINDIR%\syswow64\reg.exe' DELETE "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "SpIDerGate" /f
- '%WINDIR%\syswow64\reg.exe' DELETE "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "avast" /f
- '%WINDIR%\syswow64\reg.exe' DELETE "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "nod32kui" /f
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\Sistem\smg.bat" "
- '%WINDIR%\syswow64\reg.exe' DELETE "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "egui" /f
- '%WINDIR%\syswow64\reg.exe' DELETE "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "AVP" /f
- '%WINDIR%\syswow64\cmd.exe' /c poisk1.bat (со скрытым окном)
- '%WINDIR%\syswow64\ftp.exe' -s:sys
- '%WINDIR%\syswow64\reg.exe' DELETE "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "SpIDerNT" /f
- '%WINDIR%\syswow64\reg.exe' DELETE "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "SpIDerGate" /f
- '%WINDIR%\syswow64\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "start" /t REG_SZ /d "\"%APPDATA%\Sistem\start.lnk\"
- '%WINDIR%\syswow64\cmd.exe' /c fullgrab.bat (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "ftpgood" /t REG_SZ /d "\"%APPDATA%\Sistem\ftpgood.lnk\"
- '%WINDIR%\syswow64\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "startminered" /t REG_SZ /d "\"%APPDATA%\Sistem\startminered.lnk\"
- '%WINDIR%\syswow64\chcp.com' 1251
- '%WINDIR%\syswow64\reg.exe' DELETE "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "avast" /f
- '%WINDIR%\syswow64\shutdown.exe' -r -t 60
