Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\exefile\shell\open\command] '' = '"%1" %*'
- [<HKLM>\SOFTWARE\Classes\regedit\shell\open\command] '' = 'regedit.exe %1'
- [<HKLM>\SOFTWARE\Classes\.exe] '' = 'exefile'
- [<HKLM>\SOFTWARE\Classes\telnet\shell\open\command] '' = 'rundll32.exe url.dll,TelnetProtocolHandler %l'
- [<HKLM>\SOFTWARE\Classes\dunfile\shell\open\command] '' = ''
- [<HKLM>\SOFTWARE\Classes\batfile\shell\open\command] '' = '"%1" %*'
- [<HKLM>\SOFTWARE\Classes\crexefile\shell\open\command] '' = '"%1" %*'
- [<HKLM>\SOFTWARE\Classes\regfile\shell\open\command] '' = 'regedit.exe "%1"'
- [<HKLM>\SOFTWARE\Classes\comfile\shell\open\command] '' = '"%1" %*'
- [<HKLM>\SOFTWARE\Classes\cmdfile\shell\open\command] '' = '"%1" %*'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\winmgmt] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\wuauserv] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\wscsvc] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
блокирует:
- Компонент восстановления системы (SR)
Создает и запускает на исполнение:
- 'C:\ComboFix\swreg.cfexe' save "hklm\software\microsoft\schedulingagent" temp00.hiv
- 'C:\ComboFix\dumphive.cfexe' temp00.hiv runs.cf
- 'C:\ComboFix\swreg.cfexe' save "hklm\software\microsoft\windows\currentversion\internet settings\activex cache" temp00.hiv
- 'C:\ComboFix\dumphive.cfexe' -e temp00.hiv runs.cf
- 'C:\ComboFix\grep.cfexe' -sqe . "ALLUSE~1\ntuser.dat"
- 'C:\ComboFix\vfind.cfexe' -mrtd "*"
- 'C:\ComboFix\sed.cfexe' "/Tasksfolder/I!d;s/\x22$//;s/.*\x22//;s/\\\\/\\/g" runs.cf
- 'C:\ComboFix\grep.cfexe' -F \ runs.cf
- 'C:\ComboFix\grep.cfexe' -q FAT
- 'C:\ComboFix\vfind.cfexe' -ltf \qoobox\backenv\setpath.bat
- 'C:\ComboFix\sed.cfexe' -r "/-/!d; s/.{26}//; s/ .*//"
- 'C:\ComboFix\setpath.cfexe'
- 'C:\ComboFix\dumphive.cfexe' temp00.hiv runs.cf
- 'C:\ComboFix\swreg.cfexe' save "hku\.default\software\microsoft\windows\currentversion\explorer\shell folders" temp00.hiv
- 'C:\ComboFix\sed.cfexe' "s/.*/@&/;"
- 'C:\ComboFix\swreg.cfexe' query "HKEY_USERS\S-1-5-20\software\microsoft\windows\currentversion\explorer\shell folders"
- 'C:\ComboFix\swreg.cfexe' query "HKEY_USERS\S-1-5-19\software\microsoft\windows\currentversion\explorer\shell folders"
- 'C:\ComboFix\swreg.cfexe' query "HKEY_USERS\defaul~1\software\microsoft\windows\currentversion\explorer\shell folders"
- 'C:\ComboFix\swreg.cfexe' query "HKEY_USERS\S-1-5-21-2052111302-484763869-725345543-1003\software\microsoft\windows\currentversion\explorer\shell folders"
- 'C:\ComboFix\sed.cfexe' -n "G; s/\n/&&/; /^\([ -~]*\n\).*\n\1/d; s/\n//; h; P"
- 'C:\ComboFix\sed.cfexe' "/ APPDATA\t.*\t/I!d;s///" shellfolders.cfu
- 'C:\ComboFix\swreg.cfexe' query "HKEY_USERS\S-1-5-18\software\microsoft\windows\currentversion\explorer\shell folders"
- 'C:\ComboFix\swreg.cfexe' query "HKEY_USERS\.DEFAULT\software\microsoft\windows\currentversion\explorer\shell folders"
- 'C:\ComboFix\grep.cfexe' -sqe . "LOCALS~1\ntuser.dat"
- 'C:\ComboFix\swreg.cfexe' load "hku\DEFAUL~1" "DEFAUL~1\ntuser.dat"
- 'C:\ComboFix\grep.cfexe' -sqe . "DEFAUL~1\ntuser.dat"
- 'C:\ComboFix\grep.cfexe' -sqe . "NETWOR~1\ntuser.dat"
- 'C:\ComboFix\sed.cfexe' "/\\/I!d;/_Classes$/Id;"
- 'C:\ComboFix\swreg.cfexe' query hku
- 'C:\ComboFix\grep.cfexe' -sqe . "%USERNAME%\ntuser.dat"
- 'C:\ComboFix\NirCmd.cfexe' killprocess severe.exe
- 'C:\ComboFix\NirCmd.cfexe' killprocess fubcwj.exe
- 'C:\ComboFix\NirCmd.cfexe' killprocess conime.exe
- 'C:\ComboFix\NirCmd.cfexe' killprocess logo1_.exe
- 'C:\ComboFix\NirCmd.cfexe' killprocess verclsid.dat
- 'C:\ComboFix\NirCmd.cfexe' killprocess OSO.EXE
- 'C:\ComboFix\NirCmd.cfexe' killprocess rundl132.exe
- 'C:\ComboFix\NirCmd.cfexe' killprocess bryato.exe
- 'C:\ComboFix\grep.cfexe' -sq "Windows XP"
- 'C:\ComboFix\nircmd.exe' win close ititle "ComboFix"
- 'C:\ComboFix\nircmd.exe' regdelval "hkcu\software\policies\microsoft\windows\system" "disablecmd"
- 'C:\ComboFix\grep.cfexe' -q "Windows XP"
- 'C:\ComboFix\NirCmd.cfexe' killprocess thguard.exe
- 'C:\ComboFix\swreg.exe' import cfexe.cf
- 'C:\ComboFix\grep.cfexe' -q "Version 6.0.6000"
- 'C:\ComboFix\swreg.cfexe' query hkcr\clsid\{9f143c3a-1457-6cca-03a7-7aa23b61e40f}\inprocserver32 /ve
- 'C:\ComboFix\swreg.cfexe' delete "hkcu\software\microsoft\windows\currentversion\policies\system" /v "disableregistrytools"
- 'C:\ComboFix\grep.cfexe' -iq " %systemroot%\\system32\\cmd.exe$"
- 'C:\ComboFix\sed.cfexe' "/:\\/!d;s/.*\t//;"
- 'C:\ComboFix\vfind.cfexe' -ltf errdbg.cf
- 'C:\ComboFix\NirCmd.cfexe' service manual wmi
- 'C:\ComboFix\regt.cfexe' /s creg.cf
- 'C:\ComboFix\swreg.cfexe' query "hklm\system\currentcontrolset\control\session manager\environment" /v comspec
- 'C:\ComboFix\NirCmd.cfexe' killprocess sed.cfexe
- 'C:\ComboFix\NirCmd.cfexe' killprocess grep.cfexe
- 'C:\ComboFix\NirCmd.cfexe' killprocess VFind.cfexe
- 'C:\ComboFix\swreg.cfexe' query "hklm\system\currentcontrolset\control\session manager\environment" /v path
- 'C:\ComboFix\sed.cfexe' -e :a -e "N;s/\n/;/g;ta;"
- 'C:\ComboFix\grep.cfexe' -Evix "%systemroot%|%systemroot%\\system32|%systemroot%\\system32\\wbem|C:\\WINDOWS|C:\\WINDOWS\\system32|C:\\WINDOWS\\system32\\wbem"
- 'C:\ComboFix\sed.cfexe' "/.*\t/!d;s///;s/;/\n/g"
Запускает на исполнение:
- '<SYSTEM32>\chkdsk.exe' /l
- '<SYSTEM32>\sort.exe'
- '<SYSTEM32>\findstr.exe' /m /i /f:/ update_load
- '<SYSTEM32>\chcp.com'
Принудительно разрешает автозапуск со съемных носителей.
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- C:\ComboFix\SF.cfexe
- C:\ComboFix\swsc.cfexe
- C:\ComboFix\swxcacls.cfexe
- C:\ComboFix\RestartIt.cfexe
- C:\ComboFix\sed.cfexe
- C:\ComboFix\setpath.cfexe
- C:\ComboFix\ERDNTDOS.LOC
- C:\ComboFix\ERDNTWIN.LOC
- C:\ComboFix\ERUNT.LOC
- C:\ComboFix\vfind.cfexe
- C:\ComboFix\zip.cfexe
- C:\ComboFix\ERDNT.e_e
- C:\ComboFix\Ntrights.cfexe
- C:\ComboFix\zhsvc.cf
- C:\ComboFix\catchme.cfexe
- C:\ComboFix\dd.cfexe
- C:\ComboFix\whitedirB.cf
- C:\ComboFix\WhiteLegacy.cf
- C:\ComboFix\winlogondef.cf
- C:\ComboFix\handle.cfexe
- C:\ComboFix\moveex.cfexe
- C:\ComboFix\mtee.cfexe
- C:\ComboFix\dumphive.cfexe
- C:\ComboFix\ERUNT.cfexe
- C:\ComboFix\grep.cfexe
- %WINDIR%\NirCmd.exe
- C:\ComboFix\regt.cfexe
- C:\ComboFix\setpath.bat
- <SYSTEM32>\moveex.exe
- <SYSTEM32>\swreg.exe
- %WINDIR%\catchme.exe
- C:\ComboFix\hiveloads.cfu
- C:\ComboFix\shellfolders.cfu
- C:\ComboFix\APPDATAB.cfu
- C:\ComboFix\temp00.hiv
- C:\ComboFix\runs.cf
- C:\ComboFix\profiles.folder.cf
- <SYSTEM32>\VFind.exe
- C:\ComboFix\LocalDrive.vbs
- C:\ComboFix\OSid.vbs
- C:\ComboFix\restore_pt.vbs
- C:\ComboFix\findcombo.vbs
- C:\ComboFix\FProps.vbs
- C:\ComboFix\lnkread.vbs
- C:\ComboFix\NirCmd.cfexe
- <SYSTEM32>\swxcacls.exe
- <SYSTEM32>\swsc.exe
- C:\ComboFix\SvcDrv.vbs
- C:\ComboFix\swreg.cfexe
- C:\ComboFix\errdbg.cf
- C:\ComboFix\ntp.exe
- C:\ComboFix\NTPBack.exe
- C:\ComboFix\swreg.exe
- C:\ComboFix\Sys.bat
- C:\ComboFix\upload.bat
- C:\ComboFix\nircmd.exe
- C:\ComboFix\cfexe.cf
- C:\ComboFix\clsid.cf
- C:\ComboFix\Creg.cf
- C:\ComboFix\ComboFix.sys
- C:\ComboFix\023.cf
- C:\ComboFix\023v.cf
- C:\ComboFix\Qoo.bat
- C:\ComboFix\ComboFix.bat
- C:\ComboFix\DelClsid.bat
- C:\ComboFix\FIND3M.bat
- C:\ComboFix\Boot.bat
- C:\ComboFix\CF_anti-viking.bat
- C:\ComboFix\Combobatch.bat
- C:\ComboFix\Look2Me.bat
- C:\ComboFix\MoveIt.bat
- C:\ComboFix\NTP.bat
- C:\ComboFix\FIXLSP.bat
- C:\ComboFix\history.bat
- C:\ComboFix\List-C.bat
- C:\ComboFix\region.cf
- C:\ComboFix\rogues.cf
- C:\ComboFix\safeboot.cf
- C:\ComboFix\notifykeys.cf
- C:\ComboFix\Policies.cf
- C:\ComboFix\Purity.cf
- C:\ComboFix\svchost.cf
- C:\ComboFix\svchost.vista.cf
- C:\ComboFix\system_ini.cf
- C:\ComboFix\safeboot.def.cf
- C:\ComboFix\safeboot.def.vista.cf
- C:\ComboFix\svc_wht.cf
- C:\ComboFix\NetworkService.cf
- C:\ComboFix\LocalService.cf
- C:\ComboFix\LocalServiceNetworkRestricted.cf
- C:\ComboFix\LocalSystemNetworkRestricted.cf
- C:\ComboFix\erunt.cf
- C:\ComboFix\executables.cf
- C:\ComboFix\L2M_combofix.cf
- C:\ComboFix\netsvc.cf
- C:\ComboFix\netsvc.vista.cf
- C:\ComboFix\netsvc.xp.cf
- C:\ComboFix\Look.cf
- C:\ComboFix\ndis_combofix.cf
- C:\ComboFix\netsvc.bad.cf
Удаляет следующие файлы:
- C:\ComboFix\CF_anti-viking.bat
- C:\ComboFix\temp00.hiv
- C:\ComboFix\runs.cf
- C:\ComboFix\netsvc.vista.cf
- C:\ComboFix\svchost.vista.cf
- C:\ComboFix\cfexe.cf
Перемещает следующие файлы:
- C:\ComboFix\netsvc.xp.cf в C:\ComboFix\netsvc.cf
Другое:
Ищет следующие окна:
- ClassName: 'RegEdit_RegEdit' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
