Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'JavaUpdater' = '%APPDATA%\Microsoft\Credentials\Current\svchost.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'flashupdate' = '%APPDATA%\Microsoft\MMC\001\svchost.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'cleanmgr' = '%APPDATA%\Microsoft\Network\Connections\Qvf\svchost.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\Microsoft\Network\Connections\Qvf\svchost.exe' /AutoIt3ExecuteScript "%APPDATA%\Microsoft\Network\Connections\Qvf\c.au3"
- '%APPDATA%\Microsoft\Network\Connections\Qvf\svchost.exe' /AutoIt3ExecuteScript "%APPDATA%\Microsoft\Network\Connections\Qvf\k.au3"
- '%APPDATA%\Microsoft\Network\Connections\Qvf\md5sum.exe' "%WINDIR%\Microsoft.NET\Framework\v4.0.30319\ASP.NETWebAdminFiles\App_Code\PasswordValueTextBox.cs"
- '%APPDATA%\Microsoft\Credentials\Current\svchost.exe'
- '%APPDATA%\Microsoft\Network\Connections\Qvf\svchost.exe'
- '%APPDATA%\MultiBit\log\multibit-0.5.18-windows-setup.exe' %APPDATA%\MultiBit\log\
- '%APPDATA%\Microsoft\MMC\001\svchost.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\aut21.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\SecurityConstants.au3
- %TEMP%\aut22.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\rar.exe
- %TEMP%\aut20.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\Security.au3
- %TEMP%\aut24.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\StringConstants.au3
- %TEMP%\aut25.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\SendMessage.au3
- %TEMP%\aut23.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\String.au3
- %TEMP%\aut1B.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\nircmdc-32.exe
- %TEMP%\aut1C.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\Misc.au3
- %TEMP%\aut1A.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\MsgBoxConstants.au3
- %TEMP%\aut1E.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\ProcessConstants.au3
- %TEMP%\aut1F.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\nircmdc-64.exe
- %TEMP%\aut1D.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\Process.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\StructureConstants.au3
- %APPDATA%\Microsoft\MMC\001\svchost.exe
- %APPDATA%\Microsoft\Credentials\Current\tmp
- %APPDATA%\Microsoft\MMC\001\tmp
- %TEMP%\aut2C.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\WindowsConstants.au3
- %APPDATA%\Microsoft\Credentials\Current\svchost.exe
- %APPDATA%\Microsoft\Network\Connections\Qvf\Files\array.txt
- %APPDATA%\Microsoft\Network\Connections\Qvf\temp.bat
- %APPDATA%\Microsoft\Network\Connections\Qvf\md5sum.txt
- %APPDATA%\Microsoft\Network\Connections\Qvf\Files\Data\styles.css
- %APPDATA%\Microsoft\Network\Connections\Qvf\Files\KL.html
- %APPDATA%\Microsoft\Network\Connections\Qvf\hash_list.txt
- %APPDATA%\Microsoft\Network\Connections\Qvf\TrayConstants.au3
- %TEMP%\aut28.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\UIAWrappers.au3
- %TEMP%\aut26.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\Timers.au3
- %TEMP%\aut27.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\WinAPIConstants.au3
- %TEMP%\aut2B.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\WinAPIError.au3
- %TEMP%\aut29.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\WinAPI.au3
- %TEMP%\aut2A.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\ChromeCacheView.exe
- %TEMP%\aut9.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\ColorConstants.au3
- %TEMP%\aut7.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\c.au3
- %TEMP%\aut8.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\CUIAutomation2.au3
- %TEMP%\autC.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\Date.au3
- %TEMP%\autA.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\constants.au3
- %TEMP%\autB.tmp
- %APPDATA%\MultiBit\log\multibit-0.5.18-windows-setup.exe
- %TEMP%\aut3.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\Array.au3
- %TEMP%\aut1.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\svchost.exe
- %TEMP%\aut2.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\BlockAndMonitorOff.au3
- %TEMP%\aut6.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\BlockInputEx.au3
- %TEMP%\aut4.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\AutoItConstants.au3
- %TEMP%\aut5.tmp
- %TEMP%\autD.tmp
- %TEMP%\aut15.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\k.au3
- %TEMP%\aut16.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\IE.au3
- %TEMP%\aut14.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\Inet.au3
- %TEMP%\aut18.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\MemoryConstants.au3
- %TEMP%\aut19.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\md5sum.exe
- %TEMP%\aut17.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\Memory.au3
- %TEMP%\autF.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\File.au3
- %TEMP%\aut10.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\DirConstants.au3
- %TEMP%\autE.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\EditConstants.au3
- %TEMP%\aut12.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\GUIConstantsEx.au3
- %TEMP%\aut13.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\FileConstants.au3
- %TEMP%\aut11.tmp
- %APPDATA%\Microsoft\Network\Connections\Qvf\FontConstants.au3
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\Microsoft\Network\Connections\Qvf\SendMessage.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\SecurityConstants.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\String.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\StructureConstants.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\StringConstants.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\Security.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\nircmdc-64.exe
- %APPDATA%\Microsoft\Network\Connections\Qvf\nircmdc-32.exe
- %APPDATA%\Microsoft\Network\Connections\Qvf\Process.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\rar.exe
- %APPDATA%\Microsoft\Network\Connections\Qvf\ProcessConstants.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\svchost.exe
- %APPDATA%\Microsoft\MMC\001\svchost.exe
- %APPDATA%\Microsoft\Network\Connections\Qvf\WindowsConstants.au3
- %APPDATA%\Microsoft\MMC\001\tmp
- %APPDATA%\Microsoft\Credentials\Current\tmp
- %APPDATA%\Microsoft\Credentials\Current\svchost.exe
- %APPDATA%\Microsoft\Network\Connections\Qvf\WinAPIError.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\TrayConstants.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\Timers.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\UIAWrappers.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\WinAPIConstants.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\WinAPI.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\MsgBoxConstants.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\constants.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\ColorConstants.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\CUIAutomation2.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\DirConstants.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\Date.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\ChromeCacheView.exe
- %APPDATA%\Microsoft\Network\Connections\Qvf\AutoItConstants.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\Array.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\BlockAndMonitorOff.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\c.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\BlockInputEx.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\EditConstants.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\md5sum.exe
- %APPDATA%\Microsoft\Network\Connections\Qvf\k.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\Memory.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\Misc.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\MemoryConstants.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\Inet.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\FileConstants.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\File.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\FontConstants.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\IE.au3
- %APPDATA%\Microsoft\Network\Connections\Qvf\GUIConstantsEx.au3
Удаляет следующие файлы:
- %TEMP%\aut1F.tmp
- %TEMP%\aut1E.tmp
- %TEMP%\aut20.tmp
- %TEMP%\aut22.tmp
- %TEMP%\aut21.tmp
- %TEMP%\aut1D.tmp
- %TEMP%\aut19.tmp
- %TEMP%\aut18.tmp
- %TEMP%\aut1A.tmp
- %TEMP%\aut1C.tmp
- %TEMP%\aut1B.tmp
- %TEMP%\aut23.tmp
- %TEMP%\aut2B.tmp
- %TEMP%\aut2A.tmp
- %TEMP%\aut2C.tmp
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
- %TEMP%\aut29.tmp
- %TEMP%\aut25.tmp
- %TEMP%\aut24.tmp
- %TEMP%\aut26.tmp
- %TEMP%\aut28.tmp
- %TEMP%\aut27.tmp
- %TEMP%\aut8.tmp
- %TEMP%\aut7.tmp
- %TEMP%\aut9.tmp
- %TEMP%\autB.tmp
- %TEMP%\autA.tmp
- %TEMP%\aut6.tmp
- %TEMP%\aut2.tmp
- %TEMP%\aut1.tmp
- %TEMP%\aut3.tmp
- %TEMP%\aut5.tmp
- %TEMP%\aut4.tmp
- %TEMP%\autC.tmp
- %TEMP%\aut14.tmp
- %TEMP%\aut13.tmp
- %TEMP%\aut15.tmp
- %TEMP%\aut17.tmp
- %TEMP%\aut16.tmp
- %TEMP%\aut12.tmp
- %TEMP%\autE.tmp
- %TEMP%\autD.tmp
- %TEMP%\autF.tmp
- %TEMP%\aut11.tmp
- %TEMP%\aut10.tmp
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
