Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MSConfig' = '<SYSTEM32>\qkt.exe %1 ;MSConfig.exe /auto'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explOrer\rUn] '?' = '<SYSTEM32>\qkt.exe %1 '
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\rUN] '?' = '<SYSTEM32>\qkt.exe %1 '
Подменяет следующие исполняемые системные файлы:
- %WINDIR%\pchealth\helpctr\binaries\msconfig.exe файлом %WINDIR%\pchealth\helpctr\binaries\msconfig.exe
- <SYSTEM32>\taskmgr.exe файлом <SYSTEM32>\taskmgr.exe
- %WINDIR%\NOTEPAD.EXE файлом %WINDIR%\Notepad.exe
- <SYSTEM32>\notepad.exe файлом <SYSTEM32>\Notepad.exe
- <SYSTEM32>\userinit.exe файлом <SYSTEM32>\userinit.exe
- <SYSTEM32>\dllcache\taskmgr.exe файлом <SYSTEM32>\dllcache\taskmgr.exe
- <SYSTEM32>\dllcache\userinit.exe файлом <SYSTEM32>\dllcache\userinit.exe
- <SYSTEM32>\dllcache\notepad.exe файлом <SYSTEM32>\dllcache\Notepad.exe
- <SYSTEM32>\dllcache\msconfig.exe файлом <SYSTEM32>\dllcache\msconfig.exe
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\System.Volume.Information\dESktOP.iNI
- <Имя диска съемного носителя>:\System.Volume.Information\%ntfs%.exe
- <Имя диска съемного носителя>:\aUtOrUn.iNf
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Редактора реестра (RegEdit)
Создает и запускает на исполнение:
- '%WINDIR%\My Computer\kernel.exe' vbNullString
- '<SYSTEM32>\qkt.exe' vbNullString
Запускает на исполнение:
- '<SYSTEM32>\wscript.exe' "<SYSTEM32>\dllcache\Shell32.js" vbNullString
Ищет следующие окна с целью
обхода системы защиты файлов Windows (WFP):
- ClassName: '(null)' WindowName: 'Windows File Protection'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\dllcache\Shell32.js
- %WINDIR%\My Computer\dESktOP.iNI
- %WINDIR%\My Computer\kernel.exe
- C:\System.Volume.Information\dESktOP.iNI
- C:\System.Volume.Information\%ntfs%.exe
- C:\aUtOrUn.iNf
- %WINDIR%\pchealth\helpctr\binaries\ msconfig.exe
- <SYSTEM32>\ userinit.exe
- <SYSTEM32>\qkt.exe
- <SYSTEM32>\dllcache\ taskmgr.exe
- <SYSTEM32>\ taskmgr.exe
- <SYSTEM32>\dllcache\ userinit.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\System.Volume.Information\dESktOP.iNI
- C:\System.Volume.Information\%ntfs%.exe
- C:\aUtOrUn.iNf
- <Имя диска съемного носителя>:\System.Volume.Information\dESktOP.iNI
- <Имя диска съемного носителя>:\System.Volume.Information\%ntfs%.exe
- <Имя диска съемного носителя>:\aUtOrUn.iNf
- %WINDIR%\pchealth\helpctr\binaries\ msconfig.exe
- <SYSTEM32>\ taskmgr.exe
- <SYSTEM32>\ userinit.exe
- <SYSTEM32>\dllcache\Shell32.js
- %WINDIR%\My Computer\dESktOP.iNI
- %WINDIR%\My Computer\kernel.exe
Удаляет следующие файлы:
- <SYSTEM32>\taskmgr.exe
- <SYSTEM32>\userinit.exe
- %WINDIR%\pchealth\helpctr\binaries\msconfig.exe
- %WINDIR%\NOTEPAD.EXE
- <SYSTEM32>\notepad.exe
- <SYSTEM32>\dllcache\userinit.exe
- %TEMP%\~DF214E.tmp
- <SYSTEM32>\dllcache\taskmgr.exe
- <SYSTEM32>\dllcache\notepad.exe
- <SYSTEM32>\dllcache\msconfig.exe
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: 'kernel.exe'
- ClassName: '(null)' WindowName: 'qkt.exe'
