Техническая информация
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
Создает и запускает на исполнение:
- '%TEMP%\nsw5.tmp\nsE.tmp' REG.EXE DELETE "HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\DD_Service" /f
- '%TEMP%\nsw5.tmp\nsD.tmp' REG.EXE DELETE "HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\DD_Service\Enum" /f
- '%TEMP%\nsw5.tmp\nsC.tmp' REG.EXE DELETE "HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\DD_Service\Security" /f
- '%TEMP%\nsw5.tmp\nsF.tmp' regedit.exe /s "<Текущая директория>\StopDD.reg"
- '%TEMP%\nsw5.tmp\ns12.tmp' cmd.exe /C RMDIR /S /Q "C:\DD20.0.1"
- '%TEMP%\nsw5.tmp\ns11.tmp' cmd.exe /C del /P /Q "\DD.txt"
- '%TEMP%\nsw5.tmp\ns10.tmp' regedit.exe /s "%TEMP%\StopDD.reg"
- '%TEMP%\nsw5.tmp\ns7.tmp' "net.exe" stop DD_Service
- '%TEMP%\nsw5.tmp\ns6.tmp' "sc.exe" delete DD_Service
- '%TEMP%\A~ADVANTIGu_.exe' _?=<Текущая директория>\
- '%TEMP%\nsw5.tmp\ns8.tmp' REG.EXE DELETE "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\DD-Hidden" /f
- '%TEMP%\nsw5.tmp\nsB.tmp' REG.EXE DELETE "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\DDHelper" /f
- '%TEMP%\nsw5.tmp\nsA.tmp' REG.EXE DELETE "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\DDExe" /f
- '%TEMP%\nsw5.tmp\ns9.tmp' REG.EXE DELETE "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\DD-ShowSuperHidden" /f
Запускает на исполнение:
- '<SYSTEM32>\reg.exe' DELETE "HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\DD_Service\Enum" /f
- '<SYSTEM32>\reg.exe' DELETE "HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\DD_Service\Security" /f
- '<SYSTEM32>\reg.exe' DELETE "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\DDHelper" /f
- '%WINDIR%\regedit.exe' /s "%TEMP%\StopDD.reg"
- '%WINDIR%\regedit.exe' /s "<Текущая директория>\StopDD.reg"
- '<SYSTEM32>\reg.exe' DELETE "HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\DD_Service" /f
- '<SYSTEM32>\net1.exe' stop DD_Service
- '<SYSTEM32>\net.exe' stop DD_Service
- '<SYSTEM32>\sc.exe' delete DD_Service
- '<SYSTEM32>\reg.exe' DELETE "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\DDExe" /f
- '<SYSTEM32>\reg.exe' DELETE "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\DD-ShowSuperHidden" /f
- '<SYSTEM32>\reg.exe' DELETE "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\DD-Hidden" /f
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsw5.tmp\nsC.tmp
- %TEMP%\nsw5.tmp\nsD.tmp
- %TEMP%\nsw5.tmp\nsA.tmp
- %TEMP%\nsw5.tmp\nsB.tmp
- %TEMP%\nsw5.tmp\nsE.tmp
- %TEMP%\nsw5.tmp\ns11.tmp
- %TEMP%\nsw5.tmp\ns12.tmp
- %TEMP%\nsw5.tmp\nsF.tmp
- %TEMP%\nsw5.tmp\ns10.tmp
- %TEMP%\nso4.tmp
- C:\DD.txt
- %TEMP%\nsb2.tmp
- %TEMP%\A~ADVANTIGu_.exe
- %TEMP%\nsw5.tmp\nsExec.dll
- %TEMP%\nsw5.tmp\ns8.tmp
- %TEMP%\nsw5.tmp\ns9.tmp
- %TEMP%\nsw5.tmp\ns6.tmp
- %TEMP%\nsw5.tmp\ns7.tmp
Удаляет следующие файлы:
- C:\DD.txt
- %TEMP%\nsw5.tmp\nsF.tmp
- %TEMP%\nsw5.tmp\nsD.tmp
- %TEMP%\nsw5.tmp\nsE.tmp
- %TEMP%\nsw5.tmp\ns12.tmp
- %TEMP%\nsw5.tmp\nsExec.dll
- %TEMP%\nsw5.tmp\ns10.tmp
- %TEMP%\nsw5.tmp\ns11.tmp
- %TEMP%\nsw5.tmp\ns7.tmp
- %TEMP%\nsw5.tmp\ns8.tmp
- <SYSTEM32>\PerfStringBackup.TMP
- %TEMP%\nsw5.tmp\ns6.tmp
- %TEMP%\nsw5.tmp\nsB.tmp
- %TEMP%\nsw5.tmp\nsC.tmp
- %TEMP%\nsw5.tmp\ns9.tmp
- %TEMP%\nsw5.tmp\nsA.tmp
Другое:
Ищет следующие окна:
- ClassName: 'RegEdit_RegEdit' WindowName: '(null)'
- ClassName: 'SysListView32' WindowName: '(null)'
- ClassName: '#32770' WindowName: '(null)'
