Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\process lasso management console (gui)
- <SYSTEM32>\tasks\session agent for process lasso
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\ProcessGovernor] 'ImagePath' = '"%ProgramFiles%\Process Lasso\srvstub.exe" "%ProgramFiles%\Process Lasso\processgovernor.exe" "ProcessGovernor" /exiteven...
Создает следующие сервисы
- 'ProcessGovernor' %ProgramFiles%\Process Lasso\srvstub.exe" "%ProgramFiles%\Process Lasso\processgovernor.exe" "ProcessGovernor" /exitevent:Global\ProcessGovernorExitEven
Вредоносные функции
Патчит код
в динамической библиотеке
- Процесс ~doapjsj.tmp, модуль UxTheme.dll
- Процесс ~doapjsj.tmp, модуль USER32.dll
- Процесс ~doapjsj.tmp, модуль COMDLG32.dll
Изменения в файловой системе
Создает следующие файлы
- %CommonProgramFiles(x86)%\~abypgje.tmp
- %TEMP%\aute271.tmp
- %CommonProgramFiles(x86)%\~doapjsj.tmp
- %TEMP%\is-iimic.tmp\~doapjsj.tmp
- %TEMP%\is-ogos0.tmp\_isetup\_regdll.tmp
- %TEMP%\is-ogos0.tmp\_isetup\_setup64.tmp
- %TEMP%\is-ogos0.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-ogos0.tmp\istask.dll
- %TEMP%\is-ogos0.tmp\vclstylesinno.dll
- %TEMP%\is-ogos0.tmp\metroblue.vsf
- %TEMP%\is-ogos0.tmp\wizardform.bitmapimage1.bmp
- %ProgramFiles%\process lasso\is-r8uuu.tmp
- %TEMP%\is-ogos0.tmp\is-i9c1u.tmp
- %TEMP%\is-ogos0.tmp\is-qcum6.tmp
- %ProgramFiles%\process lasso\is-mjplk.tmp
- %ProgramFiles%\process lasso\is-20tm1.tmp
- %ProgramFiles%\process lasso\is-74b8b.tmp
- %ProgramFiles%\process lasso\is-amml7.tmp
- %ProgramFiles%\process lasso\is-rhtbo.tmp
- %ProgramFiles%\process lasso\is-ilbbm.tmp
- %ProgramFiles%\process lasso\is-46nnl.tmp
- %ProgramFiles%\process lasso\is-8itgm.tmp
- %ProgramFiles%\process lasso\is-mva05.tmp
- %ProgramFiles%\process lasso\is-v4u8m.tmp
- %ProgramFiles%\process lasso\is-eaorj.tmp
- %ProgramFiles%\process lasso\is-r8g3c.tmp
- %ProgramFiles%\process lasso\is-gh7oi.tmp
- %ProgramFiles%\process lasso\is-nnn9o.tmp
- %ProgramFiles%\process lasso\is-0db3t.tmp
- %ProgramFiles%\process lasso\is-hfks0.tmp
- %ProgramFiles%\process lasso\is-j7euo.tmp
- %ProgramFiles%\process lasso\is-he7vk.tmp
- %ProgramFiles%\process lasso\is-hpu4c.tmp
- %ProgramFiles%\process lasso\is-vdhtb.tmp
- %ProgramFiles%\process lasso\is-omm0e.tmp
- %ProgramFiles%\process lasso\is-clof4.tmp
- %ProgramFiles%\process lasso\is-tfiko.tmp
- %ProgramFiles%\process lasso\is-0d2u5.tmp
- %ProgramFiles%\process lasso\is-83vfd.tmp
- %ProgramFiles%\process lasso\is-thdgt.tmp
- %ProgramFiles%\process lasso\is-heogo.tmp
- %ProgramFiles%\process lasso\is-24f94.tmp
- %ProgramFiles%\process lasso\is-4181c.tmp
- %ProgramFiles%\process lasso\is-v8ehp.tmp
- %ProgramFiles%\process lasso\is-m0co4.tmp
- %ProgramFiles%\process lasso\is-6nvt3.tmp
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\process lasso\process lasso.lnk
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\process lasso\uninstall.lnk
- %HOMEPATH%\desktop\process lasso.lnk
- %ProgramFiles%\process lasso\unins000.dat
- %TEMP%\{3936c578-b9b4-4935-b068-b01ea26f5482}.png
- %LOCALAPPDATA%\microsoft\windows\explorer\notifyicon\microsoft.explorer.notification.{06c5e068-5f53-bd64-f088-8e3428bcbe88}.png
Присваивает атрибут 'скрытый' для следующих файлов
- %CommonProgramFiles(x86)%\~doapjsj.tmp
Удаляет файлы, которые сам же создал
- %TEMP%\aute271.tmp
- %TEMP%\is-ogos0.tmp\syspin.exe
- <SYSTEM32>\tasks\session agent for process lasso
- %TEMP%\is-ogos0.tmp\istask.dll
- %TEMP%\is-ogos0.tmp\metroblue.vsf
- %TEMP%\is-ogos0.tmp\vclstylesinno.dll
- %TEMP%\is-ogos0.tmp\wizardform.bitmapimage1.bmp
- %TEMP%\is-ogos0.tmp\_isetup\_regdll.tmp
- %TEMP%\is-ogos0.tmp\_isetup\_setup64.tmp
- %TEMP%\is-ogos0.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-iimic.tmp\~doapjsj.tmp
- %CommonProgramFiles(x86)%\~doapjsj.tmp
- %CommonProgramFiles(x86)%\~abypgje.tmp
- %TEMP%\{3936c578-b9b4-4935-b068-b01ea26f5482}.png
- %LOCALAPPDATA%\microsoft\windows\explorer\notifyicon\microsoft.explorer.notification.{06c5e068-5f53-bd64-f088-8e3428bcbe88}.png
Перемещает следующие файлы
- %ProgramFiles%\process lasso\is-r8uuu.tmp в %ProgramFiles%\process lasso\unins000.exe
- %TEMP%\is-ogos0.tmp\is-i9c1u.tmp в %TEMP%\is-ogos0.tmp\syspin.exe
- %ProgramFiles%\process lasso\is-mjplk.tmp в %ProgramFiles%\process lasso\bitsumsessionagent.exe
- %ProgramFiles%\process lasso\is-20tm1.tmp в %ProgramFiles%\process lasso\cpueater.exe
- %ProgramFiles%\process lasso\is-74b8b.tmp в %ProgramFiles%\process lasso\insights.exe
- %ProgramFiles%\process lasso\is-amml7.tmp в %ProgramFiles%\process lasso\installhelper.exe
- %ProgramFiles%\process lasso\is-rhtbo.tmp в %ProgramFiles%\process lasso\logviewer.exe
- %ProgramFiles%\process lasso\is-ilbbm.tmp в %ProgramFiles%\process lasso\pl.cmd
- %ProgramFiles%\process lasso\is-46nnl.tmp в %ProgramFiles%\process lasso\pl_rsrc_english.dll
- %ProgramFiles%\process lasso\is-8itgm.tmp в %ProgramFiles%\process lasso\pl_rsrc_russian.dll
- %ProgramFiles%\process lasso\is-mva05.tmp в %ProgramFiles%\process lasso\processgovernor.exe
- %ProgramFiles%\process lasso\is-v4u8m.tmp в %ProgramFiles%\process lasso\processlasso.exe
- %ProgramFiles%\process lasso\is-eaorj.tmp в %ProgramFiles%\process lasso\processlassolauncher.exe
- %ProgramFiles%\process lasso\is-r8g3c.tmp в %ProgramFiles%\process lasso\quickupgrade.exe
- %ProgramFiles%\process lasso\is-gh7oi.tmp в %ProgramFiles%\process lasso\srvstub.exe
- %ProgramFiles%\process lasso\is-nnn9o.tmp в %ProgramFiles%\process lasso\start-governor.bat
- %ProgramFiles%\process lasso\is-0db3t.tmp в %ProgramFiles%\process lasso\stop-governor.bat
- %ProgramFiles%\process lasso\is-hfks0.tmp в %ProgramFiles%\process lasso\testlasso.exe
- %ProgramFiles%\process lasso\is-j7euo.tmp в %ProgramFiles%\process lasso\threadracer.exe
- %ProgramFiles%\process lasso\is-he7vk.tmp в %ProgramFiles%\process lasso\tweakscheduler.exe
- %ProgramFiles%\process lasso\is-hpu4c.tmp в %ProgramFiles%\process lasso\vistammsc.exe
- %ProgramFiles%\process lasso\is-vdhtb.tmp в %ProgramFiles%\process lasso\pl_rsrc_bulgarian.dll
- %ProgramFiles%\process lasso\is-omm0e.tmp в %ProgramFiles%\process lasso\pl_rsrc_chinese.dll
- %ProgramFiles%\process lasso\is-clof4.tmp в %ProgramFiles%\process lasso\pl_rsrc_chinese_traditional.dll
- %ProgramFiles%\process lasso\is-tfiko.tmp в %ProgramFiles%\process lasso\pl_rsrc_finnish.dll
- %ProgramFiles%\process lasso\is-0d2u5.tmp в %ProgramFiles%\process lasso\pl_rsrc_french.dll
- %ProgramFiles%\process lasso\is-83vfd.tmp в %ProgramFiles%\process lasso\pl_rsrc_german.dll
- %ProgramFiles%\process lasso\is-thdgt.tmp в %ProgramFiles%\process lasso\pl_rsrc_italian.dll
- %ProgramFiles%\process lasso\is-heogo.tmp в %ProgramFiles%\process lasso\pl_rsrc_japanese.dll
- %ProgramFiles%\process lasso\is-24f94.tmp в %ProgramFiles%\process lasso\pl_rsrc_korean.dll
- %ProgramFiles%\process lasso\is-4181c.tmp в %ProgramFiles%\process lasso\pl_rsrc_polish.dll
- %ProgramFiles%\process lasso\is-v8ehp.tmp в %ProgramFiles%\process lasso\pl_rsrc_ptbr.dll
- %ProgramFiles%\process lasso\is-m0co4.tmp в %ProgramFiles%\process lasso\pl_rsrc_slovenian.dll
- %ProgramFiles%\process lasso\is-6nvt3.tmp в %ProgramFiles%\process lasso\pl_rsrc_spanish.dll
Подменяет следующие файлы
- %TEMP%\is-ogos0.tmp\syspin.exe
Другое
Ищет следующие окна
- ClassName: 'RegEdit_RegEdit' WindowName: ''
Создает и запускает на исполнение
- '%CommonProgramFiles(x86)%\~doapjsj.tmp' /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /SP- /LOADINF="%CommonProgramFiles(x86)%\~abypgje.tmp"
- '%TEMP%\is-iimic.tmp\~doapjsj.tmp' /SL5="$C01DC,5031291,60928,%CommonProgramFiles(x86)%\~doapjsj.tmp" /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /SP- /LOADINF="%CommonProgramFiles(x86)%\~abypgje.tmp"
- '%ProgramFiles%\process lasso\installhelper.exe' /firstinstall
- '%ProgramFiles%\process lasso\installhelper.exe' /migrate
- '%ProgramFiles%\process lasso\installhelper.exe' /powerinstall
- '%ProgramFiles%\process lasso\installhelper.exe' /install
Запускает на исполнение
- '%WINDIR%\regedit.exe' /S "%CommonProgramFiles(x86)%\settings.reg"
- '%CommonProgramFiles(x86)%\~doapjsj.tmp' /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /SP- /LOADINF="%CommonProgramFiles(x86)%\~abypgje.tmp" (со скрытым окном)
- '%ProgramFiles%\process lasso\installhelper.exe' /firstinstall (со скрытым окном)
- '%ProgramFiles%\process lasso\installhelper.exe' /migrate (со скрытым окном)
- '%ProgramFiles%\process lasso\installhelper.exe' /powerinstall (со скрытым окном)
- '%ProgramFiles%\process lasso\installhelper.exe' /install (со скрытым окном)
