Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\EOSNOTIFY.EXE] 'Debugger' = 'nul'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\InstallAgent.exe] 'Debugger' = 'nul'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MusNotification.exe] 'Debugger' = 'nul'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\remsh.exe] 'Debugger' = 'nul'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SIHClient.exe] 'Debugger' = 'nul'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UpdateAssistant.exe] 'Debugger' = 'nul'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UsoClient.exe] 'Debugger' = 'nul'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Windows10Upgrade.exe] 'Debugger' = 'nul'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\WINDOWS10UPGRADERAPP.EXE] 'Debugger' = 'nul'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\82c5.tmp\82c6.tmp\82c7.bat
- <Текущая директория>\stopwinupdates.exe
- %TEMP%\is-s8o4d.tmp\stopwinupdates.tmp
- %TEMP%\is-u985s.tmp\_isetup\_setup64.tmp
- %TEMP%\is-u985s.tmp\wizardform.bitmapimage1.bmp
- %TEMP%\is-u985s.tmp\is-5vgm0.tmp
- %TEMP%\is-u985s.tmp\is-k4mhs.tmp
Удаляет следующие файлы
- %TEMP%\is-u985s.tmp\defenderupdates.xml
- %TEMP%\is-u985s.tmp\subinacl.exe
- %TEMP%\is-u985s.tmp\wizardform.bitmapimage1.bmp
- %TEMP%\is-u985s.tmp\_isetup\_setup64.tmp
- %TEMP%\is-s8o4d.tmp\stopwinupdates.tmp
- %TEMP%\82c5.tmp\82c6.tmp\82c7.bat
Перемещает следующие файлы
- %TEMP%\is-u985s.tmp\is-5vgm0.tmp в %TEMP%\is-u985s.tmp\defenderupdates.xml
- %TEMP%\is-u985s.tmp\is-k4mhs.tmp в %TEMP%\is-u985s.tmp\subinacl.exe
Сетевая активность
Подключается к
- '34.##9.100.209':443
TCP
Другие
- '34.##9.100.209':443
Другое
Создает и запускает на исполнение
- '<Текущая директория>\stopwinupdates.exe' /VERYSILENT /COMPONENTS="a\Disable,b\DisableStoreApps,d\EnableDriver,e\DisableMaps,f\EnableOptimization" /NORESTART
- '%TEMP%\is-s8o4d.tmp\stopwinupdates.tmp' /SL5="$16017C,961512,883200,<Текущая директория>\StopWinUpdates.exe" /VERYSILENT /COMPONENTS="a\Disable,b\DisableStoreApps,d\EnableDriver,e\DisableMaps,f\EnableOptimization" /NORESTART
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\82C5.tmp\82C6.tmp\82C7.bat <Полный путь к файлу>" (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\WINDOWS10UPGRADERAPP.EXE" /v "Debugger" /t REG_SZ /d "nul" /f
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" /v "DisableOSUpgrade" /t REG_DWORD /d "1" /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" /v "DisableOSUpgrade" /t REG_DWORD /d "1" /f
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" /v "DisableWindowsUpdateAccess" /t REG_DWORD /d "1" /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" /v "DisableWindowsUpdateAccess" /t REG_DWORD /d "1" /f
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\WindowsUpdate" /v "OSUpgrade" /t REG_DWORD /d "0" /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\WindowsUpdate" /v "OSUpgrade" /t REG_DWORD /d "0" /f
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\WindowsUpdate" /v "ReservationsAllowed" /t REG_DWORD /d "0" /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\WindowsUpdate" /v "ReservationsAllowed" /t REG_DWORD /d "0" /f
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\Setup\UpgradeNotification" /v "UpgradeAvailable" /t REG_DWORD /d "0" /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SYSTEM\Setup\UpgradeNotification" /v "UpgradeAvailable" /t REG_DWORD /d "0" /f
- '%WINDIR%\syswow64\cmd.exe' /c sc config wuauserv start= demand (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' config wuauserv start= demand
- '<SYSTEM32>\cmd.exe' /c REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\DriverSearching" /v "SearchOrderConfig" /t REG_DWORD /d "1" /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\DriverSearching" /v "SearchOrderConfig" /t REG_DWORD /d "1" /f
- '<SYSTEM32>\cmd.exe' /c REG DELETE "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" /v "ExcludeWUDriversInQualityUpdate" /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' DELETE "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" /v "ExcludeWUDriversInQualityUpdate" /f
- '<SYSTEM32>\cmd.exe' /c REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsUpdate\UX\Settings" /v "ExcludeWUDriversInQualityUpdate" /t REG_DWORD /d "0" /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsUpdate\UX\Settings" /v "ExcludeWUDriversInQualityUpdate" /t REG_DWORD /d "0" /f
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\WINDOWS10UPGRADERAPP.EXE" /v "Debugger" /t REG_SZ /d "nul" /f (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PolicyManager\current\device\Update" /v "ExcludeWUDriversInQualityUpdate" /t REG_DWORD /d "0" /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Windows10Upgrade.exe" /v "Debugger" /t REG_SZ /d "nul" /f
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UsoClient.exe" /v "Debugger" /t REG_SZ /d "nul" /f
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU" /v "AUOptions" /t REG_DWORD /d "2" /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU" /v "AUOptions" /t REG_DWORD /d "2" /f
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\AU" /v "NoAutoUpdate" /t REG_DWORD /d "1" /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\AU" /v "NoAutoUpdate" /t REG_DWORD /d "1" /f
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v "NoWindowsUpdate" /t REG_DWORD /d "1" /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v "NoWindowsUpdate" /t REG_DWORD /d "1" /f
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\EOSNOTIFY.EXE" /v "Debugger" /t REG_SZ /d "nul" /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\EOSNOTIFY.EXE" /v "Debugger" /t REG_SZ /d "nul" /f
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\InstallAgent.exe" /v "Debugger" /t REG_SZ /d "nul" /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\InstallAgent.exe" /v "Debugger" /t REG_SZ /d "nul" /f
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MusNotification.exe" /v "Debugger" /t REG_SZ /d "nul" /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MusNotification.exe" /v "Debugger" /t REG_SZ /d "nul" /f
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\remsh.exe" /v "Debugger" /t REG_SZ /d "nul" /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\remsh.exe" /v "Debugger" /t REG_SZ /d "nul" /f
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SIHClient.exe" /v "Debugger" /t REG_SZ /d "nul" /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SIHClient.exe" /v "Debugger" /t REG_SZ /d "nul" /f
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UpdateAssistant.exe" /v "Debugger" /t REG_SZ /d "nul" /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UpdateAssistant.exe" /v "Debugger" /t REG_SZ /d "nul" /f
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UsoClient.exe" /v "Debugger" /t REG_SZ /d "nul" /f (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Windows10Upgrade.exe" /v "Debugger" /t REG_SZ /d "nul" /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PolicyManager\current\device\Update" /v "ExcludeWUDriversInQualityUpdate" /t REG_DWORD /d "0" /f
