Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\SA.DAT
Вредоносные функции:
Создает и запускает на исполнение:
- '<Текущая директория>\startup.exe'
- '<Текущая директория>\virose.exe'
Запускает на исполнение:
- '<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows\CurrentнVersion\Run" /V prosystem /T REG_SZ /D %WINDIR%\vi.vbs /F
- '<SYSTEM32>\schtasks.exe' /Create /SC MINUTE /TN windows_Dos_El_delt /TR %WINDIR%\vi.vbs /f
- '<SYSTEM32>\schtasks.exe' /Create /SC MINUTE /TN Ajuda_windows /TR %WINDIR%\vi.vbs /f
- '<SYSTEM32>\schtasks.exe' /Create /SC MINUTE /TN windows_help /TR %WINDIR%\cmd.cmd /f
- '<SYSTEM32>\xcopy.exe' /q /a /c /y com\vi.vbs %WINDIR%
- '<SYSTEM32>\shutdown.exe' -f -r -t 30 -c "Windows Dice: Adios"
- '<SYSTEM32>\notepad.exe'
- '<SYSTEM32>\svchost.exe'
- '<SYSTEM32>\calc.exe'
- '%WINDIR%\pchealth\helpctr\binaries\msconfig.exe'
- '<SYSTEM32>\mspaint.exe'
- '<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows\CurrentнVersion\Run" /V prosystem /T REG_SZ /D %WINDIR%\cmd.cmd /F
- '<SYSTEM32>\svchost.exe' -k rpcss
- '<SYSTEM32>\svchost.exe' -k LocalService
- '<SYSTEM32>\taskkill.exe' /f /im svchost.exe
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\start.cmd""
- '<SYSTEM32>\taskkill.exe' /f /im explorer.exe
- '<SYSTEM32>\svchost.exe' -k netsvcs
- '<SYSTEM32>\xcopy.exe' /q /a /c /y com\cmd.cmd %WINDIR%
- '<SYSTEM32>\xcopy.exe' /q /a /c /y com\cmd.cmd "%HOMEPATH%\AppData\Roaming\Microsoftн\Windows\Start Menu\Programs\Startup"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\2.tmp\startup.cmd""
- '<SYSTEM32>\reg.exe' add HKEY_LOCALMACHINE\SYSTEM\CurrentControlset\Services\USBSTOR /v Start /t REG_DWOR /d 3 /t
- '<SYSTEM32>\attrib.exe' * +h +s /s /d
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\svchost.exe
- %WINDIR%\Explorer.EXE
Пытается завершить работу операционной системы Windows.
Изменения в файловой системе:
Создает следующие файлы:
- <Текущая директория>\desrt.cmd
- <Текущая директория>\debug.cmd
- <Текущая директория>\cmd.cmd
- <Текущая директория>\vi.vbs
- %TEMP%\2.tmp\startup.cmd
- <Текущая директория>\virose.exe
- %TEMP%\1.tmp\start.cmd
- <Текущая директория>\startup.exe
- <Текущая директория>\vou.cmd
Присваивает атрибут 'скрытый' для следующих файлов:
- <Текущая директория>\virose.exe
- <Текущая директория>\vou.cmd
- <Полный путь к вирусу>
- <Текущая директория>\startup.exe
Удаляет следующие файлы:
- <SYSTEM32>\hal.dll
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: 'System Configuration Utility'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: '(null)' WindowName: '(null)'
