Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Classes\comfile\shell\open\command] '' = '"%1" %*'
- [HKLM\Software\Classes\exefile\shell\open\command] '' = '"%1" %*'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce] '' = ''
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
Изменения в файловой системе
Создает следующие файлы
- C:\327882r2fwjfw\bootsect
- C:\327882r2fwjfw\system_ini.dat
- C:\327882r2fwjfw\svchost.vista.dat
- C:\327882r2fwjfw\svchost.dat
- C:\327882r2fwjfw\svc_wht.dat
- C:\327882r2fwjfw\safeboot.def.vista.dat
- C:\327882r2fwjfw\safeboot.def.dat
- C:\327882r2fwjfw\safeboot.dat
- C:\327882r2fwjfw\rogues.dat
- C:\327882r2fwjfw\region.dat
- C:\327882r2fwjfw\whitedirb.dat
- C:\327882r2fwjfw\purity.dat
- C:\327882r2fwjfw\networkservice.dat
- C:\327882r2fwjfw\netsvc.xp.dat
- C:\327882r2fwjfw\netsvc.vista.dat
- C:\327882r2fwjfw\netsvc.dat
- C:\327882r2fwjfw\netsvc.bad.dat
- C:\327882r2fwjfw\ndis_combofix.dat
- C:\327882r2fwjfw\localsystemnetworkrestricted.dat
- C:\327882r2fwjfw\localservicenetworkrestricted.dat
- C:\327882r2fwjfw\localservice.dat
- C:\327882r2fwjfw\policies.dat
- C:\327882r2fwjfw\whitelegacy.dat
- C:\327882r2fwjfw\zdomain.dat
- C:\327882r2fwjfw\zhsvc.dat
- C:\327882r2fwjfw\mwindows.dat
- C:\327882r2fwjfw\dirname00
- C:\327882r2fwjfw\filename
- %WINDIR%\syswow64\cf6216.exe
- C:\327882r2fwjfw\attrib.cfexe
- C:\327882r2fwjfw\findstr.cfexe
- C:\bug.txt
- C:\327882r2fwjfw\svcdrv.vbs
- C:\327882r2fwjfw\restore_pt.vbs
- C:\327882r2fwjfw\osid.vbs
- C:\327882r2fwjfw\localdrive.vbs
- C:\327882r2fwjfw\lnkread.vbs
- C:\327882r2fwjfw\lfn.vbs
- C:\327882r2fwjfw\fprops.vbs
- C:\327882r2fwjfw\combo-fix.sys
- C:\327882r2fwjfw\exe.reg
- C:\327882r2fwjfw\erunt.loc
- C:\327882r2fwjfw\erdntwin.loc
- C:\327882r2fwjfw\erdntdos.loc
- C:\327882r2fwjfw\nircmd.inf
- C:\327882r2fwjfw\erdnt.e_e
- C:\327882r2fwjfw\fin.dat
- C:\start_.cmd
- C:\327882r2fwjfw\executables.dat
- C:\327882r2fwjfw\clsid.dat
- C:\327882r2fwjfw\dumphive.cfexe
- C:\327882r2fwjfw\dd.cfexe
- C:\327882r2fwjfw\catchme.cfexe
- C:\327882r2fwjfw\setenvmt.bat
- C:\327882r2fwjfw\safebootrepair.bat
- C:\327882r2fwjfw\restoreo4.bat
- C:\327882r2fwjfw\qoo.bat
- C:\327882r2fwjfw\nd_.bat
- C:\327882r2fwjfw\moveit.bat
- C:\327882r2fwjfw\erunt.cfexe
- C:\327882r2fwjfw\list-c.bat
- C:\327882r2fwjfw\history.bat
- C:\327882r2fwjfw\fixlsp.bat
- C:\327882r2fwjfw\find3m.bat
- C:\327882r2fwjfw\disclaimer.bat
- C:\327882r2fwjfw\delclsid.bat
- C:\327882r2fwjfw\comspec.bat
- C:\327882r2fwjfw\combobatch.bat
- C:\327882r2fwjfw\c.bat
- C:\327882r2fwjfw\boot.bat
- C:\327882r2fwjfw\lang.bat
- C:\327882r2fwjfw\extract.cfexe
- C:\327882r2fwjfw\fdsv.cfexe
- C:\327882r2fwjfw\grep.cfexe
- C:\327882r2fwjfw\023v.dat
- C:\327882r2fwjfw\023.dat
- C:\327882r2fwjfw\nircmd.com
- C:\327882r2fwjfw\prep.cmd
- C:\327882r2fwjfw\zip.cfexe
- C:\327882r2fwjfw\vfind.cfexe
- C:\327882r2fwjfw\swxcacls.cfexe
- C:\327882r2fwjfw\swsc.cfexe
- C:\327882r2fwjfw\swreg.cfexe
- C:\327882r2fwjfw\sf.cfexe
- C:\327882r2fwjfw\setpath.cfexe
- C:\327882r2fwjfw\sed.cfexe
- C:\327882r2fwjfw\pv.cfexe
- C:\327882r2fwjfw\psexec.cfexe
- C:\327882r2fwjfw\nircmdc.cfexe
- C:\327882r2fwjfw\nircmd.cfexe
- C:\327882r2fwjfw\mtee.cfexe
- C:\327882r2fwjfw\moveex.cfexe
- C:\327882r2fwjfw\md5deep.cfexe
- C:\327882r2fwjfw\handle.cfexe
- C:\327882r2fwjfw\gsar.cfexe
- C:\327882r2fwjfw\creg.dat
- C:\<Имя файла>\osver00
Удаляет следующие файлы
- C:\327882r2fwjfw\nircmd.inf
- C:\327882r2fwjfw\filename
- C:\327882r2fwjfw\dirname00
- C:\327882r2fwjfw\prep.cmd
Перемещает следующие файлы
- C:\327882r2fwjfw\023.dat в C:\<Имя файла>\023.dat
- C:\327882r2fwjfw\region.dat в C:\<Имя файла>\region.dat
- C:\327882r2fwjfw\qoo.bat в C:\<Имя файла>\qoo.bat
- C:\327882r2fwjfw\pv.cfexe в C:\<Имя файла>\pv.cfexe
- C:\327882r2fwjfw\purity.dat в C:\<Имя файла>\purity.dat
- C:\327882r2fwjfw\psexec.cfexe в C:\<Имя файла>\psexec.cfexe
- C:\327882r2fwjfw\policies.dat в C:\<Имя файла>\policies.dat
- C:\327882r2fwjfw\osid.vbs в C:\<Имя файла>\osid.vbs
- C:\327882r2fwjfw\nircmdc.cfexe в C:\<Имя файла>\nircmdc.cfexe
- C:\327882r2fwjfw\restoreo4.bat в C:\<Имя файла>\restoreo4.bat
- C:\327882r2fwjfw\nircmd.com в C:\<Имя файла>\nircmd.com
- C:\327882r2fwjfw\networkservice.dat в C:\<Имя файла>\networkservice.dat
- C:\327882r2fwjfw\netsvc.xp.dat в C:\<Имя файла>\netsvc.xp.dat
- C:\327882r2fwjfw\netsvc.vista.dat в C:\<Имя файла>\netsvc.vista.dat
- C:\327882r2fwjfw\netsvc.dat в C:\<Имя файла>\netsvc.dat
- C:\327882r2fwjfw\netsvc.bad.dat в C:\<Имя файла>\netsvc.bad.dat
- C:\327882r2fwjfw\nd_.bat в C:\<Имя файла>\nd_.bat
- C:\327882r2fwjfw\ndis_combofix.dat в C:\<Имя файла>\ndis_combofix.dat
- C:\327882r2fwjfw\mwindows.dat в C:\<Имя файла>\mwindows.dat
- C:\327882r2fwjfw\nircmd.cfexe в C:\<Имя файла>\nircmd.cfexe
- C:\327882r2fwjfw\restore_pt.vbs в C:\<Имя файла>\restore_pt.vbs
- C:\327882r2fwjfw\rogues.dat в C:\<Имя файла>\rogues.dat
- C:\327882r2fwjfw\safeboot.dat в C:\<Имя файла>\safeboot.dat
- C:\327882r2fwjfw\zdomain.dat в C:\<Имя файла>\zdomain.dat
- C:\327882r2fwjfw\whitelegacy.dat в C:\<Имя файла>\whitelegacy.dat
- C:\327882r2fwjfw\whitedirb.dat в C:\<Имя файла>\whitedirb.dat
- C:\327882r2fwjfw\vfind.cfexe в C:\<Имя файла>\vfind.cfexe
- C:\327882r2fwjfw\system_ini.dat в C:\<Имя файла>\system_ini.dat
- C:\327882r2fwjfw\swxcacls.cfexe в C:\<Имя файла>\swxcacls.cfexe
- C:\327882r2fwjfw\swsc.cfexe в C:\<Имя файла>\swsc.cfexe
- C:\327882r2fwjfw\swreg.cfexe в C:\<Имя файла>\swreg.cfexe
- C:\327882r2fwjfw\svc_wht.dat в C:\<Имя файла>\svc_wht.dat
- C:\327882r2fwjfw\svchost.vista.dat в C:\<Имя файла>\svchost.vista.dat
- C:\327882r2fwjfw\svchost.dat в C:\<Имя файла>\svchost.dat
- C:\327882r2fwjfw\svcdrv.vbs в C:\<Имя файла>\svcdrv.vbs
- C:\327882r2fwjfw\sf.cfexe в C:\<Имя файла>\sf.cfexe
- C:\327882r2fwjfw\setpath.cfexe в C:\<Имя файла>\setpath.cfexe
- C:\327882r2fwjfw\setenvmt.bat в C:\<Имя файла>\setenvmt.bat
- C:\327882r2fwjfw\sed.cfexe в C:\<Имя файла>\sed.cfexe
- C:\327882r2fwjfw\safebootrepair.bat в C:\<Имя файла>\safebootrepair.bat
- C:\327882r2fwjfw\safeboot.def.vista.dat в C:\<Имя файла>\safeboot.def.vista.dat
- C:\327882r2fwjfw\safeboot.def.dat в C:\<Имя файла>\safeboot.def.dat
- C:\327882r2fwjfw\mtee.cfexe в C:\<Имя файла>\mtee.cfexe
- C:\327882r2fwjfw\zhsvc.dat в C:\<Имя файла>\zhsvc.dat
- C:\327882r2fwjfw\moveit.bat в C:\<Имя файла>\moveit.bat
- C:\327882r2fwjfw\md5deep.cfexe в C:\<Имя файла>\md5deep.cfexe
- C:\327882r2fwjfw\erdntwin.loc в C:\<Имя файла>\erdntwin.loc
- C:\327882r2fwjfw\erdntdos.loc в C:\<Имя файла>\erdntdos.loc
- C:\327882r2fwjfw\erdnt.e_e в C:\<Имя файла>\erdnt.e_e
- C:\327882r2fwjfw\dumphive.cfexe в C:\<Имя файла>\dumphive.cfexe
- C:\327882r2fwjfw\disclaimer.bat в C:\<Имя файла>\disclaimer.bat
- C:\327882r2fwjfw\delclsid.bat в C:\<Имя файла>\delclsid.bat
- C:\327882r2fwjfw\dd.cfexe в C:\<Имя файла>\dd.cfexe
- C:\327882r2fwjfw\creg.dat в C:\<Имя файла>\creg.dat
- C:\327882r2fwjfw\erunt.cfexe в C:\<Имя файла>\erunt.cfexe
- C:\327882r2fwjfw\comspec.bat в C:\<Имя файла>\comspec.bat
- C:\327882r2fwjfw\combo-fix.sys в C:\<Имя файла>\combo-fix.sys
- C:\327882r2fwjfw\clsid.dat в C:\<Имя файла>\clsid.dat
- C:\327882r2fwjfw\catchme.cfexe в C:\<Имя файла>\catchme.cfexe
- C:\327882r2fwjfw\c.bat в C:\<Имя файла>\c.bat
- C:\327882r2fwjfw\bootsect в C:\<Имя файла>\bootsect
- C:\327882r2fwjfw\boot.bat в C:\<Имя файла>\boot.bat
- C:\327882r2fwjfw\attrib.cfexe в C:\<Имя файла>\attrib.cfexe
- C:\327882r2fwjfw\023v.dat в C:\<Имя файла>\023v.dat
- C:\327882r2fwjfw\combobatch.bat в C:\<Имя файла>\combobatch.bat
- C:\327882r2fwjfw\erunt.loc в C:\<Имя файла>\erunt.loc
- C:\327882r2fwjfw\exe.reg в C:\<Имя файла>\exe.reg
- C:\327882r2fwjfw\executables.dat в C:\<Имя файла>\executables.dat
- C:\327882r2fwjfw\localsystemnetworkrestricted.dat в C:\<Имя файла>\localsystemnetworkrestricted.dat
- C:\327882r2fwjfw\localservicenetworkrestricted.dat в C:\<Имя файла>\localservicenetworkrestricted.dat
- C:\327882r2fwjfw\localservice.dat в C:\<Имя файла>\localservice.dat
- C:\327882r2fwjfw\localdrive.vbs в C:\<Имя файла>\localdrive.vbs
- C:\327882r2fwjfw\lnkread.vbs в C:\<Имя файла>\lnkread.vbs
- C:\327882r2fwjfw\list-c.bat в C:\<Имя файла>\list-c.bat
- C:\327882r2fwjfw\lfn.vbs в C:\<Имя файла>\lfn.vbs
- C:\327882r2fwjfw\lang.bat в C:\<Имя файла>\lang.bat
- C:\327882r2fwjfw\history.bat в C:\<Имя файла>\history.bat
- C:\327882r2fwjfw\handle.cfexe в C:\<Имя файла>\handle.cfexe
- C:\327882r2fwjfw\gsar.cfexe в C:\<Имя файла>\gsar.cfexe
- C:\327882r2fwjfw\grep.cfexe в C:\<Имя файла>\grep.cfexe
- C:\327882r2fwjfw\fprops.vbs в C:\<Имя файла>\fprops.vbs
- C:\327882r2fwjfw\fixlsp.bat в C:\<Имя файла>\fixlsp.bat
- C:\327882r2fwjfw\findstr.cfexe в C:\<Имя файла>\findstr.cfexe
- C:\327882r2fwjfw\find3m.bat в C:\<Имя файла>\find3m.bat
- C:\327882r2fwjfw\fin.dat в C:\<Имя файла>\fin.dat
- C:\327882r2fwjfw\fdsv.cfexe в C:\<Имя файла>\fdsv.cfexe
- C:\327882r2fwjfw\extract.cfexe в C:\<Имя файла>\extract.cfexe
- C:\327882r2fwjfw\moveex.cfexe в C:\<Имя файла>\moveex.cfexe
- C:\327882r2fwjfw\zip.cfexe в C:\<Имя файла>\zip.cfexe
Изменяет следующие файлы
- %LOCALAPPDATA%\microsoft\windows\explorer\explorerstartuplog_runonce.etl
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'RegEdit_RegEdit' WindowName: ''
Создает и запускает на исполнение
- 'C:\327882r2fwjfw\nircmd.com' shexec install 327882R2FWJFW\nircmd.inf
- 'C:\<Имя файла>\grep.cfexe' -Fisq "Microsoft Windows XP"
- 'C:\<Имя файла>\grep.cfexe' -Fisq "Microsoft Windows [Version 5.2.3790]"
- 'C:\<Имя файла>\grep.cfexe' -sq "currentversion.* 6.0" osVer00
- 'C:\<Имя файла>\swreg.cfexe' query "hklm\software\microsoft\windows nt\currentversion" /v currentversion
- '%WINDIR%\syswow64\cf6216.exe' /k c.bat
- 'C:\327882r2fwjfw\nircmd.cfexe' execmd del "\327882R2FWJFW\prep.cmd"
- '%WINDIR%\syswow64\cf6216.exe' /f:off /d /c call Start_.cmd
- 'C:\327882r2fwjfw\nircmd.cfexe' exec hide "<SYSTEM32>\CF6216.exe" /f:off /d /c call Start_.cmd
- 'C:\327882r2fwjfw\swreg.cfexe' acl "hklm\software\microsoft\windows nt\currentversion\windows" /de:f /q
- 'C:\327882r2fwjfw\swreg.cfexe' query "hklm\software\microsoft\windows nt\currentversion\windows"
- 'C:\327882r2fwjfw\findstr.cfexe' -ic:"[Version 6.0"
- '%WINDIR%\syswow64\cf6216.exe' /S /D /c" VER "
- 'C:\<Имя файла>\grep.cfexe' -Fisq "Microsoft Windows 2000"
- 'C:\327882r2fwjfw\findstr.cfexe' -LIXC:"<Имя файла>" dirname00
- '%WINDIR%\syswow64\cf6216.exe' /S /D /c" DIR /AD/B C:\* "
- 'C:\327882r2fwjfw\grep.cfexe' -Gisqx "FileName=[-[:alnum:]@.]*" FileName
- 'C:\327882r2fwjfw\swxcacls.cfexe' "<SYSTEM32>\cmd.exe" /p /ga:f /gs:f /gp:x /gu:x /q
- 'C:\327882r2fwjfw\swxcacls.cfexe' "<SYSTEM32>\cmd.exe" /oa /Q
- 'C:\327882r2fwjfw\attrib.cfexe' +r "C:\327882R2FWJFW\*.com"
- 'C:\327882r2fwjfw\attrib.cfexe' +r "C:\327882R2FWJFW\*.cfexe"
- 'C:\327882r2fwjfw\swreg.cfexe' add "hklm\software\microsoft\windows\currentversion\app paths\combofix.exe" /ve /d "<Полный путь к файлу>"
- 'C:\327882r2fwjfw\nircmd.cfexe' win close ititle "ComboFix"
- 'C:\327882r2fwjfw\nircmd.cfexe' win close class "#32770"
- 'C:\327882r2fwjfw\sed.cfexe' "/\t.*\\nircmd\.inf$/I!d; s///; s/./@pv -kfi &/"
- 'C:\327882r2fwjfw\pv.cfexe' -o"%i\t%l"
- 'C:\327882r2fwjfw\nircmd.com' exec hide 327882R2FWJFW\prep.cmd >Bug.txt
- 'C:\327882r2fwjfw\findstr.cfexe' -IVX ComboFix
- 'C:\<Имя файла>\nircmd.com' infobox "Incompatible OS. ComboFix only works for Windows 2000 and XP~n~nOS incompatible. ComboFix ne fonctionne que pour Windows 2000 et XP~n~nOS niet compatibel. ComboFix kan enkel gebruikt w...
Запускает на исполнение
- '%WINDIR%\syswow64\regedit.exe' /s 327882R2FWJFW\EXE.reg
- '%WINDIR%\syswow64\cmd.exe' /c 327882R2FWJFW\prep.cmd >Bug.txt (со скрытым окном)
- '%WINDIR%\syswow64\infdefaultinstall.exe' "C:\327882R2FWJFW\NirCmd.inf"
- '%WINDIR%\syswow64\runonce.exe' -r
- '%WINDIR%\syswow64\grpconv.exe' -o
- '%WINDIR%\syswow64\cmd.exe' /c del "\327882R2FWJFW\prep.cmd" (со скрытым окном)
- '%WINDIR%\syswow64\cf6216.exe' /f:off /d /c call Start_.cmd (со скрытым окном)
