Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'svchosl' = '%HOMEPATH%\46579\35195\libraries\svchosl.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%HOMEPATH%\46579\35195\libraries\sc.exe' \\CRNJEUFU config SharedAccess start= disabled
- '%HOMEPATH%\46579\35195\libraries\sc.exe' \\CRNJEUFU stop wuauserv
- '%HOMEPATH%\46579\35195\libraries\sc.exe' \\CRNJEUFU config wuauserv start= disabled
- '%HOMEPATH%\46579\35195\libraries\sc.exe' \\CRNJEUFU stop SharedAccess
- '%HOMEPATH%\46579\35195\libraries\7za.exe' x compact.exe
- '%HOMEPATH%\46579\35195\libraries\sc.exe' \\CRNJEUFU stop wscsvc
- '%HOMEPATH%\46579\35195\libraries\sc.exe' \\CRNJEUFU config wscsvc start= disabled
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmic.exe' OS GET NAME
- '<SYSTEM32>\taskkill.exe' /f /im VIRUS.exe
- '<SYSTEM32>\attrib.exe' "%HOMEPATH%\46579\35195\libraries" +s +r +h
- '<SYSTEM32>\netsh.exe' firewall set opmode disable
- '<SYSTEM32>\netsh.exe' firewall set notifications Disable
- '<SYSTEM32>\find.exe' /I "windows xp" "%HOMEPATH%\46579\35195\libraries\name.cfg"
- '<SYSTEM32>\ping.exe' lokalhost -n 1 -w 500
- '<SYSTEM32>\reg.exe' ADD HKLM\Software\Microsoft\Windows\CurrentVersion\Policias /v place /d "%HOMEPATH%\46579\35195\libraries" /f
- '<SYSTEM32>\reg.exe' ADD HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run /v svchosl /d "%HOMEPATH%\46579\35195\libraries\svchosl.exe" /f
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\VIRUS.BAT" "
- '%WINDIR%\explorer.exe'
- '<SYSTEM32>\taskkill.exe' /f /im explorer.exe
- '<SYSTEM32>\reg.exe' ADD HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer /v HideSCAHealth /t REG_DWORD /d 1 /f
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\46579\35195\libraries\7z.sfx
- %HOMEPATH%\46579\35195\libraries\name.cfg
- %HOMEPATH%\46579\35195\libraries\gwinsock.dll
- %HOMEPATH%\46579\35195\libraries\taskkill.exe
- %HOMEPATH%\46579\35195\libraries\blat.dll
- %TEMP%\tmp4.tmp
- <SYSTEM32>\wbem\AutoRecover\23BDE61F1F4FACE17E9B0C01F2A1FD9B.mof
- <SYSTEM32>\wbem\AutoRecover\C8463ECBE33BC240263A0B094E46D510.mof
- %TEMP%\tmp2.tmp
- %TEMP%\tmp3.tmp
- %HOMEPATH%\46579\35195\libraries\svchosl.exe
- %HOMEPATH%\46579\35195\libraries\autodel.bat
- %HOMEPATH%\46579\35195\libraries\Thumbs.db
- <Текущая директория>\DSC02043.jpg
- %TEMP%\1.tmp\VIRUS.BAT
- <Текущая директория>\DSC02044.jpg
- %HOMEPATH%\46579\35195\libraries\sc.exe
- %HOMEPATH%\46579\35195\libraries\sleep.exe
- %HOMEPATH%\46579\35195\libraries\getmail.exe
- %HOMEPATH%\46579\35195\libraries\blat.lib
- %HOMEPATH%\46579\35195\libraries\blat.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %HOMEPATH%\46579\35195\libraries\Thumbs.db
Удаляет следующие файлы:
- %TEMP%\tmp4.tmp
- %TEMP%\1.tmp\VIRUS.BAT
- %TEMP%\tmp3.tmp
- %HOMEPATH%\46579\35195\libraries\compact.exe
- %TEMP%\tmp2.tmp
Перемещает следующие файлы:
- %HOMEPATH%\46579\35195\libraries\DSC02043.jpg в %HOMEPATH%\46579\35195\libraries\compact.exe
- %HOMEPATH%\46579\35195\libraries\DSC02044.jpg в %HOMEPATH%\46579\35195\libraries\7za.exe
- <Текущая директория>\DSC02043.jpg в %HOMEPATH%\46579\35195\libraries\DSC02043.jpg
- <Текущая директория>\DSC02044.jpg в %HOMEPATH%\46579\35195\libraries\DSC02044.jpg
Другое:
Ищет следующие окна:
- ClassName: 'OleMainThreadWndClass' WindowName: '(null)'
- ClassName: 'SysListView32' WindowName: '(null)'
- ClassName: 'CSCHiddenWindow' WindowName: '(null)'
- ClassName: 'SystemTray_Main' WindowName: '(null)'
- ClassName: 'Proxy Desktop' WindowName: '(null)'
- ClassName: '(null)' WindowName: '(null)'
- ClassName: 'BaseBar' WindowName: 'ChanApp'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
