Техническая информация
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<Полный путь к вирусу>' = '<Полный путь к вирусу>:*:Enabled:ipsec'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '%TEMP%\nsm3.tmp\ns5.tmp' CACLS "%ALLUSERSPROFILE%\Application Data\WildTangent" /E /T /C /G "Users":F
- '%PROGRAM_FILES%\HP Games\HP Game Console\GameConsole-wt.exe' /src updateinstallnew
- '%PROGRAM_FILES%\HP Games\HP Game Console\GameConsoleService.exe' /Service
- '%TEMP%\nsm3.tmp\ns4.tmp' ICACLS "%ALLUSERSPROFILE%\Application Data\WildTangent" /C /GRANT "Users":(OI)(CI)F
Запускает на исполнение:
- '<SYSTEM32>\cacls.exe' "%ALLUSERSPROFILE%\Application Data\WildTangent" /E /T /C /G "Users":F
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\HP Games\HP Game Console\DRM0302.dll
- %PROGRAM_FILES%\HP Games\HP Game Console\ValidOrgs.xml
- %PROGRAM_FILES%\HP Games\HP Game Console\LocaleMapping.ini
- %PROGRAM_FILES%\HP Games\HP Game Console\ko-kr\GameConsole-wt.dll
- %PROGRAM_FILES%\HP Games\HP Game Console\zh\GameConsole-wt.dll
- %PROGRAM_FILES%\HP Games\HP Game Console\zh-cn\GameConsole-wt.dll
- %TEMP%\nsm3.tmp\System.dll
- %PROGRAM_FILES%\HP Games\HP Game Console\Config.ini
- %PROGRAM_FILES%\HP Games\HP Game Console\Uninstall.exe
- %ALLUSERSPROFILE%\Application Data\WildTangent\My HP Game Console\log.txt
- %TEMP%\nsm3.tmp\nsExec.dll
- %TEMP%\nsm3.tmp\ns4.tmp
- %TEMP%\nsm3.tmp\ns5.tmp
- %PROGRAM_FILES%\HP Games\HP Game Console\GameConsole.exe
- %PROGRAM_FILES%\HP Games\HP Game Console\GameConsoleService.exe
- %PROGRAM_FILES%\HP Games\HP Game Console\WTHk.dll
- %TEMP%\00026A58_rar\<Имя вируса>.exe
- %TEMP%\nsz2.tmp
- %PROGRAM_FILES%\HP Games\HP Game Console\GameConsole-wt.exe
- %PROGRAM_FILES%\HP Games\HP Game Console\de\GameConsole-wt.dll
- %PROGRAM_FILES%\HP Games\HP Game Console\es-es\GameConsole-wt.dll
- %PROGRAM_FILES%\HP Games\HP Game Console\fr\GameConsole-wt.dll
- %PROGRAM_FILES%\HP Games\HP Game Console\it\GameConsole-wt.dll
- %PROGRAM_FILES%\HP Games\HP Game Console\en\GameConsole-wt.dll
- %PROGRAM_FILES%\HP Games\HP Game Console\en-us\GameConsole-wt.dll
- %PROGRAM_FILES%\HP Games\HP Game Console\es\GameConsole-wt.dll
Удаляет следующие файлы:
- %TEMP%\nsm3.tmp\nsExec.dll
- %TEMP%\nsm3.tmp\System.dll
- %TEMP%\nsm3.tmp\ns4.tmp
- %TEMP%\nsm3.tmp\ns5.tmp
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'ArcadeClientMainWindow' WindowName: '(null)'
