Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\sc.exe' config WerSvc start= auto
- '<SYSTEM32>\net1.exe' start WinDefend
- '<SYSTEM32>\net1.exe' share User /delete
- '<SYSTEM32>\net1.exe' start WerSvc
- '<SYSTEM32>\sc.exe' config MpsSvc start= auto
- '<SYSTEM32>\net1.exe' start SharedAccess
- '<SYSTEM32>\sc.exe' config WinDefend start= auto
- '<SYSTEM32>\net1.exe' start MpsSvc
- '<SYSTEM32>\net1.exe' share VistaUser /delete
- '<SYSTEM32>\net1.exe' user Guest active:no
- '<SYSTEM32>\net1.exe' user Stealth_Invader /delete
- '%WINDIR%\explorer.exe'
- '<SYSTEM32>\taskkill.exe' /f /im explorer.exe
- '<SYSTEM32>\net1.exe' localgroup %USERNAME%s Stealth_Invader /delete
- '<SYSTEM32>\net1.exe' share Windows /delete
- '<SYSTEM32>\net1.exe' localgroup TelnetClients /delete
- '<SYSTEM32>\net1.exe' localgroup TelnetClients Stealth_Invader /delete
- '<SYSTEM32>\sc.exe' config SharedAccess start= auto
- '<SYSTEM32>\reg.exe' add "hklm\hardware\description\system\centralprocessor\0" /v ProcessorNameString /t reg_sz /d "Intel(X) Core(TM) i7 Extreme 1566@ 8.00Ghz" /f
- '<SYSTEM32>\reg.exe' add "hklm\software\microsoft\windows NT\currentversion" /v ProductName /t reg_sz /d "Windows Seven Ultimate" /f
- '<SYSTEM32>\reg.exe' delete "hklm\software\microsoft\windows\currentversion\policies\system" /v legalnoticecaption /f
- '<SYSTEM32>\reg.exe' add "hklm\hardware\description\system\centralprocessor\1" /v ProcessorNameString /t reg_sz /d "Intel(X) Core(TM) i7 Extreme 1566 @ 8.00Ghz" /f
- '<SYSTEM32>\reg.exe' add "hklm\software\microsoft\windows NT\currentversion" /v RegisteredOwner /t reg_sz /d "=Stealth_Invader=" /f
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\peace.BAT" "
- '<SYSTEM32>\reg.exe' add "hklm\software\microsoft\windows NT\currentversion" /v EditionID /t reg_sz /d "Windows Seven" /f
- '<SYSTEM32>\reg.exe' add "hklm\software\microsoft\windows NT\currentversion" /v RegisteredOrganization /t reg_sz /d "ACC Development" /f
- '<SYSTEM32>\reg.exe' delete "hklm\software\microsoft\windows\currentversion\policies\system" /v legalnoticetext /f
- '<SYSTEM32>\sc.exe' config tlntsvr start= disabled
- '<SYSTEM32>\net1.exe' stop messenger
- '<SYSTEM32>\net1.exe' stop telnet
- '<SYSTEM32>\net.exe' stop telnet
- '<SYSTEM32>\reg.exe' add HKLM\Software\Policies\Microsoft\WindowsFirewall\StandardProfile /v EnableFirewall /t reg_dword /d 1 /f
- '<SYSTEM32>\reg.exe' add HKLM\Software\Policies\Microsoft\WindowsFirewall\DomainProfile /v EnableFirewall /t reg_dword /d 1 /f
- '<SYSTEM32>\net.exe' stop messenger
- '<SYSTEM32>\sc.exe' config messenger start= disabled
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\1.tmp\peace.BAT
Удаляет следующие файлы:
- %TEMP%\1.tmp\peace.BAT
Другое:
Ищет следующие окна:
- ClassName: 'OleMainThreadWndClass' WindowName: '(null)'
- ClassName: 'SysListView32' WindowName: '(null)'
- ClassName: 'CSCHiddenWindow' WindowName: '(null)'
- ClassName: 'SystemTray_Main' WindowName: '(null)'
- ClassName: 'Proxy Desktop' WindowName: '(null)'
- ClassName: '(null)' WindowName: '(null)'
- ClassName: 'BaseBar' WindowName: 'ChanApp'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
