Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Control Panel\Desktop\] 'SCRNSAVE.EXE' = '<SYSTEM32>\HALLOE~1.SCR'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run\] 'Kleraz' = '%WINDIR%\Kl3r4z.exe'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\] 'SrvcStrtuser' = '%HOMEPATH%\Local Settings\WINDOWS\SYSTEM32\LSASS.EXE'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\] 'SysServc' = '%HOMEPATH%\Local Settings\WINDOWS\SYSTEM32\SERVICE.EXE'
- [HKLM\Software\Classes\exefile\shell\open\command] '' = '"<SYSTEM32>\shell.exe" "%1" %*'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run\] 'MSMSGS' = '%HOMEPATH%\Local Settings\WINDOWS\SYSTEM32\LSASS.EXE'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run\] 'SettingsServiceuser' = '%HOMEPATH%\Local Settings\WINDOWS\SYSTEM32\SMSS.EXE'
- [HKLM\Software\Classes\lnkfile\shell\open\command] '' = '"<SYSTEM32>\shell.exe" "%1" %*'
- [HKLM\Software\Classes\piffile\shell\open\command] '' = '"<SYSTEM32>\shell.exe" "%1" %*'
- [HKLM\Software\Classes\batfile\shell\open\command] '' = '"<SYSTEM32>\shell.exe" "%1" %*'
- [HKLM\Software\Classes\comfile\shell\open\command] '' = '"<SYSTEM32>\shell.exe" "%1" %*'
- [HKLM\Software\Classes\docfile\shell\open\command] '' = '"<SYSTEM32>\shell.exe" "%1" %*'
- [HKLM\Software\Classes\xlsfile\shell\open\command] '' = '"<SYSTEM32>\shell.exe" "%1" %*'
Создает или изменяет следующие файлы
- %ALLUSERSPROFILE%\start menu\programs\startup\adobe gamma .pif
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\top bugil.exe
- <Имя диска съемного носителя>:\boot.exe
- <Имя диска съемного носителя>:\autorun.inf
- <Имя диска съемного носителя>:\desktop.ini
- <Имя диска съемного носителя>:\settings\folder.htt
- <Имя диска съемного носителя>:\data penting\kumpulan password bank.exe
- <Имя диска съемного носителя>:\data penting\kumpulan poto bugil.exe
- <Имя диска съемного носителя>:\kumpulan puisi.exe
- <Имя диска съемного носителя>:\kumpulan poto.exe
- <Имя диска съемного носителя>:\system volume informations\folder.htt
- <Имя диска съемного носителя>:\settings.ini
- <Имя диска съемного носителя>:\system volume informations\kl3r4z.exe
- <Имя диска съемного носителя>:\tools hacker.exe
- <Имя диска съемного носителя>:\rahasiaku.exe
- <Имя диска съемного носителя>:\antivirus terbaru.exe
- <Имя диска съемного носителя>:\cerita keren.exe
- <Имя диска съемного носителя>:\settings\root.exe
- <Имя диска съемного носителя>:\data user.exe
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
блокирует:
- Компонент восстановления системы (SR)
изменяет следующие системные настройки:
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\] 'NoFolderOptions' = '00000001'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\] 'NoFolderOptions' = '00000001'
Изменяет следующие настройки браузера Windows Internet Explorer
- [HKCU\Software\Microsoft\Internet Explorer\Main] 'Window Title' = ' :: SaNgKaboT #VM ComMuNiTy ::'
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе
Создает следующие файлы
- C:\data penting\kumpulan poto bugil.exe
- %HOMEPATH%\local settings\windows\system32\smss.exe
- %HOMEPATH%\local settings\windows\system32\lsass.exe
- %WINDIR%\syswow64\expiorer.exe
- D:\data user.exe
- D:\settings\root.exe
- C:\data user.exe
- C:\settings\root.exe
- %WINDIR%\syswow64\halloewean.scr
- %WINDIR%\syswow64\shell.exe
- C:\kl3r4z.exe
- %HOMEPATH%\local settings\windows\system32\pesan kleraz.html
- %WINDIR%\kl3r4z.exe
- %HOMEPATH%\local settings\application data\lsass.exe
- %WINDIR%\patch_vista.zip .exe
- %HOMEPATH%\local settings\application data\smss.exe
- %WINDIR%\hjransav.bat
- C:\pesan kleraz.html
- D:\boot.exe
- D:\autorun.inf
- D:\desktop.ini
- D:\settings\folder.htt
- D:\data penting\kumpulan password bank.exe
- D:\data penting\kumpulan poto bugil.exe
- C:\boot.exe
- C:\autorun.inf
- C:\desktop.ini
- C:\settings\folder.htt
- C:\data penting\kumpulan password bank.exe
- C:\autoexec.bat
- %WINDIR%\msvbvm60.dll
Присваивает атрибут 'скрытый' для следующих файлов
- C:\settings\folder.htt
- %WINDIR%\patch_vista.zip .exe
- %HOMEPATH%\local settings\windows\system32\smss.exe
- %HOMEPATH%\local settings\windows\system32\lsass.exe
- C:\kl3r4z.exe
- <Имя диска съемного носителя>:\autorun.inf
- D:\autorun.inf
- %WINDIR%\kl3r4z.exe
- C:\autorun.inf
- <Имя диска съемного носителя>:\settings\folder.htt
- D:\desktop.ini
- D:\settings\folder.htt
- <Имя диска съемного носителя>:\system volume informations\folder.htt
- <Имя диска съемного носителя>:\settings.ini
- C:\desktop.ini
- <Имя диска съемного носителя>:\desktop.ini
- %WINDIR%\msvbvm60.dll
Сетевая активность
Подключается к
- 'ya##o.com':80
UDP
- DNS ASK kl####.110mb.com
- DNS ASK ya##o.com
Другое
Ищет следующие окна
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: '' WindowName: 'Registry Editor'
- ClassName: '' WindowName: 'Folder Options'
- ClassName: '' WindowName: 'Local Settings'
- ClassName: 'ExploreWClass' WindowName: ''
- ClassName: 'CabinetWClass' WindowName: ''
- ClassName: 'RebarWindow32' WindowName: ''
- ClassName: 'ComboBoxEx32' WindowName: ''
- ClassName: 'ComboBox' WindowName: ''
- ClassName: 'Edit' WindowName: ''
- ClassName: '#32770' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\kl3r4z.exe'
- '%WINDIR%\syswow64\shell.exe'
- '%WINDIR%\syswow64\expiorer.exe'
