Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'java' = 'C:\FDJDSJ.bat'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\reg.exe' add "HKCR\CLSID\{2559a1f3-21d7-11d4-bdaf-00c04f60b9f0}\Instance\InitPropertyBag" /v "Param1" /d "" /f
- '<SYSTEM32>\reg.exe' add "HKCR\CLSID\{2559a1f3-21d7-11d4-bdaf-00c04f60b9f0}\Instance\InitPropertyBag" /v "Param2" /d "http://dh####3.3322.org" /f
- '<SYSTEM32>\reg.exe' add "HKCR\CLSID\{2559a1f3-21d7-11d4-bdaf-00c04f60b9f0}\Instance\InitPropertyBag" /v "command" /d "@shell32.dll,-12705" /f
- '<SYSTEM32>\reg.exe' add "HKCR\CLSID\{2559a1f3-21d7-11d4-bdaf-00c04f60b9f0}\Instance\InitPropertyBag" /v "method" /d "ShellExecute" /f
- '<SYSTEM32>\reg.exe' add "HKCR\CLSID\{2559a1f3-21d7-11d4-bdaf-00c04f60b9f0}\Instance\InitPropertyBag" /v "Param3" /d "%PROGRAM_FILES%\Internet Explorer\iexplore.exe" /f
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu" /v "{871C5380-42A0-1069-A2EA-08002B30309D}" /d "1" /f
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel" /v "{871C5380-42A0-1069-A2EA-08002B30309D}" /d "1" /f
- '<SYSTEM32>\reg.exe' delete "HKCR\CLSID\{2559a1f3-21d7-11d4-bdaf-00c04f60b9f0}" /v "InfoTip" /f
- '<SYSTEM32>\reg.exe' delete "HKCR\CLSID\{2559a1f3-21d7-11d4-bdaf-00c04f60b9f0}" /v "LocalizedString" /f
- '<SYSTEM32>\chcp.com' 936
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /d "http://dh####3.3322.org" /f
- '<SYSTEM32>\cmd.exe' /c ""C:\FDJDSJ.bat" "
- '<SYSTEM32>\ntvdm.exe' -f
- '<SYSTEM32>\reg.exe' add "HKLM\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /d "http://dh####3.3322.org" /f
- '<SYSTEM32>\reg.exe' add "HKCR\CLSID\{2559a1f3-21d7-11d4-bdaf-00c04f60b9f0}" /v "" /d "Internet Explorer" /f
- '<SYSTEM32>\reg.exe' add "HKCR\CLSID\{2559a1f3-21d7-11d4-bdaf-00c04f60b9f0}\DefaultIcon" /v "" /d "%PROGRAM_FILES%\Internet Explorer\iexplore.exe" /f
- '<SYSTEM32>\reg.exe' add "HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce" /v "java" /d "C:\FDJDSJ.bat" /f
- '<SYSTEM32>\attrib.exe' +s +h "C:\game456"
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- C:\game456\11.LNK
- %WINDIR%\Temp\scs3.tmp
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Intarnet Exploror.lnk
- <SYSTEM32>\niu.tmp
- %WINDIR%\Temp\scs2.tmp
- <Текущая директория>\SkinH_EL.dll
- C:\FDJDSJ.bat
- %WINDIR%\Temp\scs1.tmp
- <SYSTEM32>\wm.txt
Присваивает атрибут 'скрытый' для следующих файлов:
- <Текущая директория>\SkinH_EL.dll
Удаляет следующие файлы:
- %WINDIR%\Temp\scs3.tmp
- %WINDIR%\Temp\scs2.tmp
- %WINDIR%\Temp\scs1.tmp
Другое:
Ищет следующие окна:
- ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-b20.b24.380001'
- ClassName: 'CicLoaderWndClass' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
