Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Winadmin' = '%ALLUSERSPROFILE%\Application Data\mWord13.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'dllhost' = 'E:\main154\mWord12.exe'
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\virus67.bat
- <Имя диска съемного носителя>:\virus68.bat
- <Имя диска съемного носителя>:\virus69.bat
- <Имя диска съемного носителя>:\virus64.bat
- <Имя диска съемного носителя>:\virus65.bat
- <Имя диска съемного носителя>:\virus66.bat
- <Имя диска съемного носителя>:\virus73.bat
- <Имя диска съемного носителя>:\virus74.bat
- <Имя диска съемного носителя>:\virus75.bat
- <Имя диска съемного носителя>:\virus70.bat
- <Имя диска съемного носителя>:\virus71.bat
- <Имя диска съемного носителя>:\virus72.bat
- <Имя диска съемного носителя>:\virus63.bat
- <Имя диска съемного носителя>:\virus54.bat
- <Имя диска съемного носителя>:\virus55.bat
- <Имя диска съемного носителя>:\virus56.bat
- <Имя диска съемного носителя>:\virus51.bat
- <Имя диска съемного носителя>:\virus52.bat
- <Имя диска съемного носителя>:\virus53.bat
- <Имя диска съемного носителя>:\virus60.bat
- <Имя диска съемного носителя>:\virus61.bat
- <Имя диска съемного носителя>:\virus62.bat
- <Имя диска съемного носителя>:\virus57.bat
- <Имя диска съемного носителя>:\virus58.bat
- <Имя диска съемного носителя>:\virus59.bat
- <Имя диска съемного носителя>:\virus92.bat
- <Имя диска съемного носителя>:\virus93.bat
- <Имя диска съемного носителя>:\virus94.bat
- <Имя диска съемного носителя>:\virus89.bat
- <Имя диска съемного носителя>:\virus90.bat
- <Имя диска съемного носителя>:\virus91.bat
- <Имя диска съемного носителя>:\virus98.bat
- <Имя диска съемного носителя>:\virus99.bat
- <Имя диска съемного носителя>:\virus100.bat
- <Имя диска съемного носителя>:\virus95.bat
- <Имя диска съемного носителя>:\virus96.bat
- <Имя диска съемного носителя>:\virus97.bat
- <Имя диска съемного носителя>:\virus88.bat
- <Имя диска съемного носителя>:\virus79.bat
- <Имя диска съемного носителя>:\virus80.bat
- <Имя диска съемного носителя>:\virus81.bat
- <Имя диска съемного носителя>:\virus76.bat
- <Имя диска съемного носителя>:\virus77.bat
- <Имя диска съемного носителя>:\virus78.bat
- <Имя диска съемного носителя>:\virus85.bat
- <Имя диска съемного носителя>:\virus86.bat
- <Имя диска съемного носителя>:\virus87.bat
- <Имя диска съемного носителя>:\virus82.bat
- <Имя диска съемного носителя>:\virus83.bat
- <Имя диска съемного носителя>:\virus84.bat
- <Имя диска съемного носителя>:\virus50.bat
- <Имя диска съемного носителя>:\virus16.bat
- <Имя диска съемного носителя>:\virus17.bat
- <Имя диска съемного носителя>:\virus18.bat
- <Имя диска съемного носителя>:\virus13.bat
- <Имя диска съемного носителя>:\virus14.bat
- <Имя диска съемного носителя>:\virus15.bat
- <Имя диска съемного носителя>:\virus22.bat
- <Имя диска съемного носителя>:\virus23.bat
- <Имя диска съемного носителя>:\virus24.bat
- <Имя диска съемного носителя>:\virus19.bat
- <Имя диска съемного носителя>:\virus20.bat
- <Имя диска съемного носителя>:\virus21.bat
- <Имя диска съемного носителя>:\virus12.bat
- <Имя диска съемного носителя>:\virus3.bat
- <Имя диска съемного носителя>:\virus4.bat
- <Имя диска съемного носителя>:\virus5.bat
- <Имя диска съемного носителя>:\main154\mWord12.exe
- <Имя диска съемного носителя>:\virus1.bat
- <Имя диска съемного носителя>:\virus2.bat
- <Имя диска съемного носителя>:\virus9.bat
- <Имя диска съемного носителя>:\virus10.bat
- <Имя диска съемного носителя>:\virus11.bat
- <Имя диска съемного носителя>:\virus6.bat
- <Имя диска съемного носителя>:\virus7.bat
- <Имя диска съемного носителя>:\virus8.bat
- <Имя диска съемного носителя>:\virus41.bat
- <Имя диска съемного носителя>:\virus42.bat
- <Имя диска съемного носителя>:\virus43.bat
- <Имя диска съемного носителя>:\virus38.bat
- <Имя диска съемного носителя>:\virus39.bat
- <Имя диска съемного носителя>:\virus40.bat
- <Имя диска съемного носителя>:\virus47.bat
- <Имя диска съемного носителя>:\virus48.bat
- <Имя диска съемного носителя>:\virus49.bat
- <Имя диска съемного носителя>:\virus44.bat
- <Имя диска съемного носителя>:\virus45.bat
- <Имя диска съемного носителя>:\virus46.bat
- <Имя диска съемного носителя>:\virus37.bat
- <Имя диска съемного носителя>:\virus28.bat
- <Имя диска съемного носителя>:\virus29.bat
- <Имя диска съемного носителя>:\virus30.bat
- <Имя диска съемного носителя>:\virus25.bat
- <Имя диска съемного носителя>:\virus26.bat
- <Имя диска съемного носителя>:\virus27.bat
- <Имя диска съемного носителя>:\virus34.bat
- <Имя диска съемного носителя>:\virus35.bat
- <Имя диска съемного носителя>:\virus36.bat
- <Имя диска съемного носителя>:\virus31.bat
- <Имя диска съемного носителя>:\virus32.bat
- <Имя диска съемного носителя>:\virus33.bat
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
- Редактора реестра (RegEdit)
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /f /im rstrui.exe
Изменяет следующие настройки проводника Windows (Windows Explorer):
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer] 'NoStartMenuMorePrograms' = '00000001'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer] 'NoFind' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoDesktop' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoViewContextMenu' = '{01,00,00,00}'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer] 'NoClose' = '00000001'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer] 'NoRun' = '00000001'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer] 'NoDrives' = '00000004'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer] 'NoFolderOptions' = '00000001'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer] 'NoControlPanel' = '00000001'
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Application Data\mWord13.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <Полный путь к вирусу>
- %ALLUSERSPROFILE%\Application Data\mWord13.exe
- <Имя диска съемного носителя>:\main154\mWord12.exe
Удаляет следующие файлы:
- %WINDIR%\$NtUninstallKB942288-v3$\reg00089
- %WINDIR%\$NtUninstallKB942288-v3$\reg00090
- %WINDIR%\$NtUninstallKB942288-v3$\reg00091
- %WINDIR%\$NtUninstallKB942288-v3$\reg00088
- %WINDIR%\$NtUninstallKB942288-v3$\reg00085
- %WINDIR%\$NtUninstallKB942288-v3$\reg00086
- %WINDIR%\$NtUninstallKB942288-v3$\reg00087
- %WINDIR%\$NtUninstallKB942288-v3$\reg00096
- %WINDIR%\$NtUninstallKB942288-v3$\reg00097
- %WINDIR%\$NtUninstallKB942288-v3$\reg00098
- %WINDIR%\$NtUninstallKB942288-v3$\reg00095
- %WINDIR%\$NtUninstallKB942288-v3$\reg00092
- %WINDIR%\$NtUninstallKB942288-v3$\reg00093
- %WINDIR%\$NtUninstallKB942288-v3$\reg00094
- %WINDIR%\$NtUninstallKB942288-v3$\reg00084
- %WINDIR%\$NtUninstallKB942288-v3$\reg00074
- %WINDIR%\$NtUninstallKB942288-v3$\reg00075
- %WINDIR%\$NtUninstallKB942288-v3$\reg00076
- %WINDIR%\$NtUninstallKB942288-v3$\reg00073
- %WINDIR%\$NtUninstallKB942288-v3$\reg00070
- %WINDIR%\$NtUninstallKB942288-v3$\reg00071
- %WINDIR%\$NtUninstallKB942288-v3$\reg00072
- %WINDIR%\$NtUninstallKB942288-v3$\reg00081
- %WINDIR%\$NtUninstallKB942288-v3$\reg00082
- %WINDIR%\$NtUninstallKB942288-v3$\reg00083
- %WINDIR%\$NtUninstallKB942288-v3$\reg00080
- %WINDIR%\$NtUninstallKB942288-v3$\reg00077
- %WINDIR%\$NtUninstallKB942288-v3$\reg00078
- %WINDIR%\$NtUninstallKB942288-v3$\reg00079
- %WINDIR%\$NtUninstallKB942288-v3$\spuninst\spuninst.exe
- %WINDIR%\$NtUninstallKB942288-v3$\spuninst\spuninst.inf
- %WINDIR%\$NtUninstallKB942288-v3$\spuninst\spuninst.txt
- %WINDIR%\$NtUninstallKB942288-v3$\reg00117
- %WINDIR%\$NtUninstallKB942288-v3$\reg00114
- %WINDIR%\$NtUninstallKB942288-v3$\reg00115
- %WINDIR%\$NtUninstallKB942288-v3$\reg00116
- %WINDIR%\$NtUninstallWIC$\spuninst\updspapi.dll
- %WINDIR%\0.log
- %WINDIR%\AppPatch\AcGenral.dll
- %WINDIR%\$NtUninstallWIC$\spuninst\spuninst.txt
- %WINDIR%\$NtUninstallKB942288-v3$\spuninst\updspapi.dll
- %WINDIR%\$NtUninstallWIC$\spuninst\spuninst.exe
- %WINDIR%\$NtUninstallWIC$\spuninst\spuninst.inf
- %WINDIR%\$NtUninstallKB942288-v3$\reg00113
- %WINDIR%\$NtUninstallKB942288-v3$\reg00103
- %WINDIR%\$NtUninstallKB942288-v3$\reg00104
- %WINDIR%\$NtUninstallKB942288-v3$\reg00105
- %WINDIR%\$NtUninstallKB942288-v3$\reg00102
- %WINDIR%\$NtUninstallKB942288-v3$\reg00099
- %WINDIR%\$NtUninstallKB942288-v3$\reg00100
- %WINDIR%\$NtUninstallKB942288-v3$\reg00101
- %WINDIR%\$NtUninstallKB942288-v3$\reg00110
- %WINDIR%\$NtUninstallKB942288-v3$\reg00111
- %WINDIR%\$NtUninstallKB942288-v3$\reg00112
- %WINDIR%\$NtUninstallKB942288-v3$\reg00109
- %WINDIR%\$NtUninstallKB942288-v3$\reg00106
- %WINDIR%\$NtUninstallKB942288-v3$\reg00107
- %WINDIR%\$NtUninstallKB942288-v3$\reg00108
- %WINDIR%\$NtUninstallKB942288-v3$\reg00069
- %WINDIR%\$NtUninstallKB942288-v3$\reg00027
- %WINDIR%\$NtUninstallKB942288-v3$\reg00028
- %WINDIR%\$NtUninstallKB942288-v3$\reg00029
- %WINDIR%\$NtUninstallKB942288-v3$\reg00026
- %WINDIR%\$NtUninstallKB942288-v3$\reg00023
- %WINDIR%\$NtUninstallKB942288-v3$\reg00024
- %WINDIR%\$NtUninstallKB942288-v3$\reg00025
- %WINDIR%\$NtUninstallKB942288-v3$\reg00034
- %WINDIR%\$NtUninstallKB942288-v3$\reg00035
- %WINDIR%\$NtUninstallKB942288-v3$\reg00036
- %WINDIR%\$NtUninstallKB942288-v3$\reg00033
- %WINDIR%\$NtUninstallKB942288-v3$\reg00030
- %WINDIR%\$NtUninstallKB942288-v3$\reg00031
- %WINDIR%\$NtUninstallKB942288-v3$\reg00032
- %WINDIR%\$NtUninstallKB942288-v3$\reg00022
- %WINDIR%\$NtUninstallKB942288-v3$\msisip.dll
- %WINDIR%\$NtUninstallKB942288-v3$\reg00013
- %WINDIR%\$NtUninstallKB942288-v3$\reg00014
- %WINDIR%\$NtUninstallKB942288-v3$\msimsg.dll
- %WINDIR%\$NtUninstallKB942288-v3$\msi.dll
- %WINDIR%\$NtUninstallKB942288-v3$\msiexec.exe
- %WINDIR%\$NtUninstallKB942288-v3$\msihnd.dll
- %WINDIR%\$NtUninstallKB942288-v3$\reg00019
- %WINDIR%\$NtUninstallKB942288-v3$\reg00020
- %WINDIR%\$NtUninstallKB942288-v3$\reg00021
- %WINDIR%\$NtUninstallKB942288-v3$\reg00018
- %WINDIR%\$NtUninstallKB942288-v3$\reg00015
- %WINDIR%\$NtUninstallKB942288-v3$\reg00016
- %WINDIR%\$NtUninstallKB942288-v3$\reg00017
- %WINDIR%\$NtUninstallKB942288-v3$\reg00059
- %WINDIR%\$NtUninstallKB942288-v3$\reg00060
- %WINDIR%\$NtUninstallKB942288-v3$\reg00061
- %WINDIR%\$NtUninstallKB942288-v3$\reg00058
- %WINDIR%\$NtUninstallKB942288-v3$\reg00055
- %WINDIR%\$NtUninstallKB942288-v3$\reg00056
- %WINDIR%\$NtUninstallKB942288-v3$\reg00057
- %WINDIR%\$NtUninstallKB942288-v3$\reg00066
- %WINDIR%\$NtUninstallKB942288-v3$\reg00067
- %WINDIR%\$NtUninstallKB942288-v3$\reg00068
- %WINDIR%\$NtUninstallKB942288-v3$\reg00065
- %WINDIR%\$NtUninstallKB942288-v3$\reg00062
- %WINDIR%\$NtUninstallKB942288-v3$\reg00063
- %WINDIR%\$NtUninstallKB942288-v3$\reg00064
- %WINDIR%\$NtUninstallKB942288-v3$\reg00054
- %WINDIR%\$NtUninstallKB942288-v3$\reg00042
- %WINDIR%\$NtUninstallKB942288-v3$\reg00043
- %WINDIR%\$NtUninstallKB942288-v3$\reg00044
- %WINDIR%\$NtUninstallKB942288-v3$\reg00041
- %WINDIR%\$NtUninstallKB942288-v3$\reg00037
- %WINDIR%\$NtUninstallKB942288-v3$\reg00039
- %WINDIR%\$NtUninstallKB942288-v3$\reg00040
- %WINDIR%\$NtUninstallKB942288-v3$\reg00049
- %WINDIR%\$NtUninstallKB942288-v3$\reg00052
- %WINDIR%\$NtUninstallKB942288-v3$\reg00053
- %WINDIR%\$NtUninstallKB942288-v3$\reg00048
- %WINDIR%\$NtUninstallKB942288-v3$\reg00045
- %WINDIR%\$NtUninstallKB942288-v3$\reg00046
- %WINDIR%\$NtUninstallKB942288-v3$\reg00047
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
