Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\WintTapiuxw] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%WINDIR%\en-US\57\sc.exe' delete WintTapiavx
- '%WINDIR%\en-US\57\sc.exe' stop WintTapiavx
- '%WINDIR%\en-US\57\sc.exe' delete WintTapius
- '%WINDIR%\en-US\57\sc.exe' stop WintTapius
- '%WINDIR%\en-US\57\sc.exe' delete WintTapiav
- '%WINDIR%\en-US\57\sc.exe' stop WintTapiarn
- '%WINDIR%\en-US\57\sc.exe' delete WintTapiars
- '%WINDIR%\en-US\57\sc.exe' stop WintTapiav
- '%WINDIR%\en-US\57\sc.exe' delete WintTapiarn
- '%WINDIR%\en-US\57\sc.exe' stop WintTapiux
- '%WINDIR%\en-US\57\sc.exe' description WintTapiuxw "Ho xport The Makefiles "
- '%WINDIR%\en-US\57\sc.exe' config WintTapiuxw start= auto
- '%WINDIR%\en-US\57\csrss.exe'
- '%WINDIR%\en-US\57\sc.exe' start WintTapiuxw
- '%WINDIR%\en-US\57\instsrv.exe' WintTapiuxw %WINDIR%\en-US\57\csrss.exe
- '%WINDIR%\en-US\57\sc.exe' stop WintTapiue
- '%WINDIR%\en-US\57\sc.exe' delete WintTapiux
- '%WINDIR%\en-US\57\instsrv.exe' WintTapiuxw remove
- '%WINDIR%\en-US\57\sc.exe' delete WintTapiue
- '%WINDIR%\en-US\57\sc.exe' stop SystemMern
- '%WINDIR%\en-US\57\sc.exe' delete Wintkoosen
- '%WINDIR%\en-US\57\sc.exe' stop Wintkons
- '%WINDIR%\en-US\57\sc.exe' delete SystemMern
- '%WINDIR%\en-US\57\sc.exe' stop Wintkoosen
- '%WINDIR%\en-US\57\sc.exe' delete SystemMain
- '%WINDIR%\en-US\57\sc.exe' stop SystemMain
- '%WINDIR%\en-US\57\sc.exe' delete Wintkooser
- '%WINDIR%\en-US\57\sc.exe' stop Wintkooser
- '%WINDIR%\en-US\57\sc.exe' delete Wintkons
- '%WINDIR%\en-US\57\sc.exe' stop WintTapiar
- '%WINDIR%\en-US\57\sc.exe' delete WintTapia
- '%WINDIR%\en-US\57\sc.exe' stop WintTapiars
- '%WINDIR%\en-US\57\sc.exe' delete WintTapiar
- '%WINDIR%\en-US\57\sc.exe' stop WintTapia
- '%WINDIR%\en-US\57\sc.exe' delete WintTapi
- '%WINDIR%\en-US\57\sc.exe' stop WintTapi
- '%WINDIR%\en-US\57\sc.exe' delete WintTapis
- '%WINDIR%\en-US\57\sc.exe' stop WintTapis
Запускает на исполнение:
- '<SYSTEM32>\net.exe' stop WintTapiuxw
- '<SYSTEM32>\net1.exe' stop WintTapiuxw
- '<SYSTEM32>\attrib.exe' +s +r +h instsrv.exe
- '<SYSTEM32>\attrib.exe' +s +r +h sc.exe
- '<SYSTEM32>\attrib.exe' +s +r +h %WINDIR%\en-US\57\instsrv.exe
- '<SYSTEM32>\ping.exe' -n 2 127.1
- '<SYSTEM32>\cmd.exe' /c %WINDIR%\en-US\57\xcc4.bat
- '<SYSTEM32>\attrib.exe' +s +r +h %WINDIR%\en-US\57\csrss.exe
- '%WINDIR%\regedit.exe' /s sh.reg
- '<SYSTEM32>\attrib.exe' +s +r +h csrss.exe
- '<SYSTEM32>\taskkill.exe' /f /im smssz.exe
- '<SYSTEM32>\taskkill.exe' /f /im minerd.exe
- '<SYSTEM32>\cmd.exe' /c ""%WINDIR%\en-US\57\ys.bat" "
- '<SYSTEM32>\taskkill.exe' /f /im mecoind.exe
- '<SYSTEM32>\taskkill.exe' /f /im meciond.exe
- '<SYSTEM32>\ping.exe' -n 3 127.1
- '<SYSTEM32>\attrib.exe' +s +r +h lsass.exe
- '<SYSTEM32>\taskkill.exe' /f /im smszs.exe
- '<SYSTEM32>\taskkill.exe' /f /im const.exe
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\en-US\57\instsrv.exe
- %WINDIR%\en-US\57\csrss.exe
- %WINDIR%\en-US\57\zlib1.dll
- %WINDIR%\en-US\57\ys.bat
- %WINDIR%\en-US\57\sh.reg
- %WINDIR%\en-US\57\sc.exe
- %WINDIR%\en-US\57\minerd.exe
- %WINDIR%\en-US\57\libeay32.dll
- %WINDIR%\en-US\57\libcurl-4.dll
- %WINDIR%\en-US\57\xcc4.bat
- %WINDIR%\en-US\57\ssleay32.dll
- %WINDIR%\en-US\57\pthreadGC2.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\en-US\57\sc.exe
- %WINDIR%\en-US\57\instsrv.exe
- %WINDIR%\en-US\57\csrss.exe
Удаляет следующие файлы:
- %WINDIR%\en-US\57\sh.reg
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: '(null)'
- ClassName: 'RegEdit_RegEdit' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
