Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe] 'Debugger' = 'calc'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Taskmgr.exe] 'Debugger' = 'calc'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'inicio de sesion de %USERNAME%' = 'C:\Recycled\inicio.exe'
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\AUtoRuN.inf
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\attrib.exe' +s +h I:\JoseMario.exe
- '<SYSTEM32>\attrib.exe' +s +h H:\JoseMario.exe
- '<SYSTEM32>\attrib.exe' +s +h K:\JoseMario.exe
- '<SYSTEM32>\attrib.exe' +s +h J:\JoseMario.exe
- '<SYSTEM32>\attrib.exe' +s +h E:\JoseMario.exe
- '<SYSTEM32>\attrib.exe' +s +h <Имя диска съемного носителя>:\JoseMario.exe
- '<SYSTEM32>\attrib.exe' +s +h G:\JoseMario.exe
- '<SYSTEM32>\attrib.exe' +s +h F:\JoseMario.exe
- '<SYSTEM32>\attrib.exe' +s +h L:\JoseMario.exe
- '<SYSTEM32>\attrib.exe' +s +h R:\JoseMario.exe
- '<SYSTEM32>\attrib.exe' +s +h Q:\JoseMario.exe
- '<SYSTEM32>\attrib.exe' +s +h T:\JoseMario.exe
- '<SYSTEM32>\attrib.exe' +s +h S:\JoseMario.exe
- '<SYSTEM32>\attrib.exe' +s +h N:\JoseMario.exe
- '<SYSTEM32>\attrib.exe' +s +h M:\JoseMario.exe
- '<SYSTEM32>\attrib.exe' +s +h P:\JoseMario.exe
- '<SYSTEM32>\attrib.exe' +s +h O:\JoseMario.exe
- '<SYSTEM32>\attrib.exe' -s -h -r V:\Autorun.inf
- '<SYSTEM32>\attrib.exe' -s -h -r U:\Autorun.inf
- '<SYSTEM32>\attrib.exe' -s -h -r X:\Autorun.inf
- '<SYSTEM32>\attrib.exe' -s -h -r W:\Autorun.inf
- '<SYSTEM32>\attrib.exe' +s +h +r R:\Autorun.inf
- '<SYSTEM32>\attrib.exe' -s -h -r S:\Autorun.inf
- '<SYSTEM32>\attrib.exe' -s -h -r T:\Autorun.inf
- '<SYSTEM32>\attrib.exe' +s +h +r S:\Autorun.inf
- '<SYSTEM32>\attrib.exe' -s -h -r Y:\Autorun.inf
- '<SYSTEM32>\attrib.exe' +s +h +r X:\Autorun.inf
- '<SYSTEM32>\attrib.exe' +s +h +r W:\Autorun.inf
- '<SYSTEM32>\attrib.exe' +s +h +r Z:\Autorun.inf
- '<SYSTEM32>\attrib.exe' +s +h +r Y:\Autorun.inf
- '<SYSTEM32>\attrib.exe' +s +h +r T:\Autorun.inf
- '<SYSTEM32>\attrib.exe' -s -h -r Z:\Autorun.inf
- '<SYSTEM32>\attrib.exe' +s +h +r V:\Autorun.inf
- '<SYSTEM32>\attrib.exe' +s +h +r U:\Autorun.inf
- '<SYSTEM32>\attrib.exe' /pid=748
- '<SYSTEM32>\attrib.exe' /pid=2908
- '<SYSTEM32>\attrib.exe' /pid=2880
- '<SYSTEM32>\attrib.exe' /pid=828
- '<SYSTEM32>\attrib.exe' Add "HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce" /v "inicio de sesion de %USERNAME%" /t reg_sz /d "C:\Recycled\inicio.exe" /f
- '<SYSTEM32>\attrib.exe' /pid=2824
- '<SYSTEM32>\attrib.exe' /pid=1580
- '<SYSTEM32>\attrib.exe' /pid=3912
- '<SYSTEM32>\attrib.exe' /pid=3800
- '<SYSTEM32>\attrib.exe' /pid=2876
- '<SYSTEM32>\taskkill.exe' /pid=2864
- '<SYSTEM32>\attrib.exe' /pid=3500
- '<SYSTEM32>\attrib.exe' /pid=3432
- '<SYSTEM32>\attrib.exe' /pid=3864
- '<SYSTEM32>\attrib.exe' /pid=3832
- '<SYSTEM32>\attrib.exe' /pid=2936
- '<SYSTEM32>\attrib.exe' /pid=3896
- '<SYSTEM32>\attrib.exe' Add "HKLM\SOFTWARE\microsoft\windows NT\currentversion\Image File Execution Options\Taskmgr.exe" /f
- '<SYSTEM32>\attrib.exe' +s +h Z:\JoseMario.exe
- '<SYSTEM32>\attrib.exe' Add "HKLM\SOFTWARE\microsoft\windows NT\currentversion\Image File Execution Options\Taskmgr.exe" /v Debugger /t reg_sz /d "calc" /f
- '<SYSTEM32>\attrib.exe' /pid=2984
- '<SYSTEM32>\attrib.exe' +s +h W:\JoseMario.exe
- '<SYSTEM32>\attrib.exe' +s +h U:\JoseMario.exe
- '<SYSTEM32>\attrib.exe' +s +h Y:\JoseMario.exe
- '<SYSTEM32>\attrib.exe' +s +h X:\JoseMario.exe
- '<SYSTEM32>\attrib.exe' /pid=3016
- '<SYSTEM32>\attrib.exe' /pid=3112
- '<SYSTEM32>\attrib.exe' 2500
- '<SYSTEM32>\reg.exe' /pid=2840
- '<SYSTEM32>\attrib.exe' /pid=3372
- '<SYSTEM32>\attrib.exe' /pid=3048
- '<SYSTEM32>\attrib.exe' Add "HKLM\SOFTWARE\microsoft\windows NT\currentversion\Image File Execution Options\msconfig.exe" /f
- '<SYSTEM32>\attrib.exe' /pid=3080
- '<SYSTEM32>\attrib.exe' Add "HKLM\SOFTWARE\microsoft\windows NT\currentversion\Image File Execution Options\msconfig.exe" /v Debugger /t reg_sz /d "calc" /f
- '<SYSTEM32>\attrib.exe' +s +h R:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +s +h Q:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +s +h T:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +s +h S:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +s +h N:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +s +h M:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +s +h P:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +s +h O:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +s +h U:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +s +h <SYSTEM32>\aUToRuN.inf
- '<SYSTEM32>\attrib.exe' +s +h <SYSTEM32>\JoseMario.exe
- '<SYSTEM32>\attrib.exe' +r C:\PROGRAM\FILES\DesKTop.ini
- '<SYSTEM32>\attrib.exe' +s +h <SYSTEM32>\inicio.exe
- '<SYSTEM32>\attrib.exe' +s +h X:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +s +h W:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +s +h Z:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +s +h Y:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' -s -h -r Download.exe
- '<SYSTEM32>\attrib.exe' -s -h -r sleep.exe
- '<SYSTEM32>\attrib.exe' -s -h <SYSTEM32>\inicio.exe
- '<SYSTEM32>\attrib.exe' -s -h <SYSTEM32>\JoseMario.exe
- '<SYSTEM32>\taskkill.exe' /F /IM JoseMario.exe
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\JoseMario.bat" "
- '<SYSTEM32>\attrib.exe' -s -h -r inicio.exe
- '<SYSTEM32>\attrib.exe' -s -h -r JoseMario.exe
- '<SYSTEM32>\attrib.exe' +s +h <Имя диска съемного носителя>:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +s +h J:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +s +h I:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +s +h L:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +s +h K:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +s +h F:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +s +h E:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +s +h H:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +s +h G:\AutoRun.inf
- '<SYSTEM32>\attrib.exe' -s -h -r K:\Autorun.inf
- '<SYSTEM32>\attrib.exe' -s -h -r J:\Autorun.inf
- '<SYSTEM32>\attrib.exe' +s +h +r M:\Autorun.inf
- '<SYSTEM32>\attrib.exe' +s +h +r L:\Autorun.inf
- '<SYSTEM32>\attrib.exe' -s -h -r I:\Autorun.inf
- '<SYSTEM32>\attrib.exe' -s -h -r H:\Autorun.inf
- '<SYSTEM32>\attrib.exe' +s +h +r I:\Autorun.inf
- '<SYSTEM32>\attrib.exe' +s +h +r H:\Autorun.inf
- '<SYSTEM32>\attrib.exe' -s -h -r N:\Autorun.inf
- '<SYSTEM32>\attrib.exe' +s +h +r P:\Autorun.inf
- '<SYSTEM32>\attrib.exe' -s -h -r Q:\Autorun.inf
- '<SYSTEM32>\attrib.exe' -s -h -r R:\Autorun.inf
- '<SYSTEM32>\attrib.exe' +s +h +r Q:\Autorun.inf
- '<SYSTEM32>\attrib.exe' +s +h +r N:\Autorun.inf
- '<SYSTEM32>\attrib.exe' -s -h -r O:\Autorun.inf
- '<SYSTEM32>\attrib.exe' -s -h -r P:\Autorun.inf
- '<SYSTEM32>\attrib.exe' +s +h +r O:\Autorun.inf
- '<SYSTEM32>\attrib.exe' +s +h +r C:\PROGRAM\FILES
- '<SYSTEM32>\attrib.exe' +s +h C:\Recycled\Download.exe
- '<SYSTEM32>\attrib.exe' +s +h C:\Recycled
- '<SYSTEM32>\attrib.exe' +s +h C:\PROGRAM
- '<SYSTEM32>\attrib.exe' +s +h aUToRuN.inf
- '<SYSTEM32>\attrib.exe' +r C:\Recycled\AutoRun.inf
- '<SYSTEM32>\attrib.exe' +s +h C:\Recycled\sleep.exe
- '<SYSTEM32>\attrib.exe' +s +h C:\Recycled\inicio.exe
- '<SYSTEM32>\reg.exe' Add "HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce" /v "inicio de sesion de %USERNAME%" /t reg_sz /d "C:\Recycled\inicio.exe" /f
- '<SYSTEM32>\attrib.exe' -s -h -r G:\Autorun.inf
- '<SYSTEM32>\attrib.exe' -s -h -r F:\Autorun.inf
- '<SYSTEM32>\attrib.exe' +s +h +r G:\Autorun.inf
- '<SYSTEM32>\attrib.exe' +s +h +r F:\Autorun.inf
- '<SYSTEM32>\attrib.exe' -s -h -r E:\Autorun.inf
- '<SYSTEM32>\attrib.exe' -s -h -r <Имя диска съемного носителя>:\Autorun.inf
- '<SYSTEM32>\attrib.exe' +s +h +r E:\Autorun.inf
- '<SYSTEM32>\attrib.exe' +s +h +r <Имя диска съемного носителя>:\Autorun.inf
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\wbem\wmiprvse.exe
- <SYSTEM32>\attrib.exe
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\Download.exe
- C:\Recycled\Download.exe
- C:\Recycled\inicio.exe
- <SYSTEM32>\aUToRuN.inf
- C:\PROGRAM\aUToRuN.inf
- <SYSTEM32>\sleep.exe
- C:\Recycled\sleep.exe
- <Текущая директория>\sleep.exe
- <Текущая директория>\inicio.exe
- %TEMP%\1.tmp\JoseMario.bat
- C:\Recycled\AutoRun.inf
- C:\PROGRAM\FILES\DesKTop.ini
- <Текущая директория>\Download.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\aUToRuN.inf
- <Имя диска съемного носителя>:\AUtoRuN.inf
- C:\Recycled\Download.exe
- C:\Recycled\inicio.exe
- C:\Recycled\sleep.exe
Удаляет следующие файлы:
- <Текущая директория>\Download.exe
- C:\PROGRAM\aUToRuN.inf
- <Текущая директория>\inicio.exe
- <Текущая директория>\sleep.exe
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: '(null)'
