Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Messenger_Service.' = '%WINDIR%\System\Msn.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '.Sdaemon' = '<SYSTEM32>\Sdaemon.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '.Norton_Shield' = '<SYSTEM32>\Nscan.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Microsoft_Office.' = '%WINDIR%\System\Office_Service.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ScanReg.' = '%WINDIR%\System\Scanregw.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'GS.' = '%WINDIR%\System\GS.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '.Loadqm' = '<SYSTEM32>\Loadqm.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '.ScanReg' = '<SYSTEM32>\Scanregw.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '.GS' = '<SYSTEM32>\GS.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '.Messenger_Service' = '<SYSTEM32>\Msn.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '.Search_Bar' = '<SYSTEM32>\Search.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '.Gstartup' = '<SYSTEM32>\Gmt.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '.Microsoft_Office' = '<SYSTEM32>\Office_Service.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Gstartup.' = '%WINDIR%\System\Gmt.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Search_Bar' = '%WINDIR%\System\ \Search.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Gstartup' = '%WINDIR%\System\ \Gmt.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Microsoft_Office' = '%WINDIR%\System\ \Office_Service.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Sdaemon' = '%WINDIR%\System\ \Sdaemon.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Norton_Shield' = '%WINDIR%\System\ \Nscan.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Loadqm' = '%WINDIR%\System\ \Loadqm.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ScanReg' = '%WINDIR%\System\ \Scanregw.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Norton_Shield.' = '%WINDIR%\System\Nscan.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Loadqm.' = '%WINDIR%\System\Loadqm.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Search_Bar.' = '%WINDIR%\System\Search.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'GS' = '%WINDIR%\System\ \GS.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Messenger_Service' = '%WINDIR%\System\ \Msn.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Sdaemon.' = '%WINDIR%\System\Sdaemon.exe'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
Запускает на исполнение:
- '<SYSTEM32>\net1.exe' user GEDZAC gedzac /add
- '<SYSTEM32>\cmd.exe' /c ""%WINDIR%\control.bat" "
Завершает или пытается завершить
следующие пользовательские процессы:
- smc.exe
- NAVAPW32.EXE
- AVP.EXE
- AVSYNMGR.EXE
- bdss.exe
- ccapp.exe
- zapro.exe
- outpost.exe
- ZONEALARM.EXE
- AVP32.EXE
- mpftray.exe
- AVPM.EXE
- AVPCC.EXE
- AVGCTRL.EXE
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\Office_Service.exe
- <SYSTEM32>\Scanregw.exe
- <SYSTEM32>\Gmt.exe
- <SYSTEM32>\Loadqm.exe
- <SYSTEM32>\Search.exe
- <SYSTEM32>\GS.exe
- C:\Readme.txt .exe
- %WINDIR%\MSN2.EXE
- %WINDIR%\control.bat
- <SYSTEM32>\Msn.exe
- %WINDIR%\joy.vxd
- %WINDIR%\system\Search.exe
- %WINDIR%\system\Gmt.exe
- %WINDIR%\system\Loadqm.exe
- %WINDIR%\system\daemon.exe
- %WINDIR%\system\Nscan.exe
- %WINDIR%\system\Office_Service.exe
- <SYSTEM32>\daemon.exe
- <SYSTEM32>\Nscan.exe
- %WINDIR%\system\Msn.exe
- %WINDIR%\system\Scanregw.exe
- %WINDIR%\system\GS.exe
Удаляет следующие файлы:
- %WINDIR%\control.bat
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: 'Cerrar Programa'
- ClassName: '' WindowName: 'Consola de Virtual Pc'
- ClassName: '' WindowName: 'Asistente para grabaciуn de CD'
- ClassName: '' WindowName: 'Asistente para grabaci?n de CD'
- ClassName: '' WindowName: 'Utilidad de configuraci?n del sistema'
- ClassName: '' WindowName: 'Administrador de tareas de Windows'
- ClassName: '' WindowName: 'Editor del Registro'
- ClassName: '' WindowName: 'Utilidad de configuraciуn del sistema'
