Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\jpgefile\shell\open\command] '' = ''
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Создает и запускает на исполнение:
- 'C:\FavoriteBooks\log.exe'
- 'C:\FavoriteBooks\Rar.exe' e -y -p360Base C:\FavoriteBooks\log.rar %WINDIR%\WinCN\
Запускает на исполнение:
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 2
- '<SYSTEM32>\ping.exe' -n 91 127.1
- '<SYSTEM32>\msg.exe' %USERNAME% /time:30 "Windows╥╤═ъ│╔╓╪╥к░▓╚л╕№╨┬гм╥к╩╣╕№╨┬┴в╝┤╔·╨згм─·▒╪╨ы╓╪╨┬╞Ї╢п╝╞╦у╗·бгWindows╜л╘┌1╖╓╓╙║є╫╘╢п╓╪╨┬╞Ї╢п─·╡─╝╞╦у╗·гм╟ы▒г┤ц║├╡▒╟░╬┤▒г┤ц╡─╫╩┴╧гб"
- '<SYSTEM32>\shutdown.exe' -r -t 0
- '<SYSTEM32>\ping.exe' -n 11 127.1
- '%WINDIR%\regedit.exe' /s "%TEMP%\HZ$D.826.009\sfx.reg"
- '<SYSTEM32>\mode.com' con cols=14 lines=1
- '<SYSTEM32>\cmd.exe' /c ""C:\uninst.bat" "
- '<SYSTEM32>\mshta.exe' vbscript:createobject("wscript.shell").run("""uninst.bat"" h",0)(window.close)
- '<SYSTEM32>\ping.exe' -n 1 127.1
- '<SYSTEM32>\cmd.exe' /c ""C:\uninst.bat" h"
Пытается завершить работу операционной системы Windows.
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\inst1013.lnk
- %WINDIR%\inst1013.vbe
- %WINDIR%\doc.ico
- %WINDIR%\WinCN\temp.ini
- %WINDIR%\avi.ico
- %WINDIR%\jpg.ico
- %TEMP%\HZ$D.826.009\sfx.reg
- %TEMP%\HZ~1.tmp.bat
- %WINDIR%\ATIdir.sys
- %WINDIR%\my1013.jpge
- %WINDIR%\txt.ico
- C:\uninst.bat
- C:\OA\照片.lnk
- C:\FavoriteBooks\Rar.exe
- C:\FavoriteBooks\log.exe
- C:\FavoriteBooks\log.rar
- C:\OA\照片3.lnk
- %WINDIR%\WinCN\inst.ini
- %WINDIR%\WinCN\inst.lnk
- C:\Update1013.rar
- C:\OA\照片2.lnk
- C:\OB\CgAPDE5974ig-NKQAAJw65ZHjdo666-5f4f0b13.JPG
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\ATIdir.sys
Удаляет следующие файлы:
- C:\FavoriteBooks\log.rar
- C:\FavoriteBooks\log.exe
Перемещает следующие файлы:
- %WINDIR%\WinCN\temp.ini в %WINDIR%\WinCN\inst\temp.ini
- C:\Update1013.rar в %WINDIR%\WinCN\inst\Update1013.rar
- C:\FavoriteBooks\Rar.exe в %WINDIR%\WinCN\Rar.exe
- %WINDIR%\WinCN\inst.lnk в %WINDIR%\WinCN\inst\inst.lnk
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
