Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msupdate.exe' = '%APPDATA%\Roaming\Windows Update Service\msupdate.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\A55FeZ9z8.exe'
Запускает на исполнение:
- '<SYSTEM32>\wscript.exe' A9y6KPoh3.vbs
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\windowsupdate_32908490328093248902.exe.65.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.66.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.67.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.64.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.61.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.62.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.63.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.71.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.72.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.73.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.70.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.68.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.69.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.7.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.52.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.53.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.54.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.51.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.49.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.5.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.50.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.59.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.6.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.60.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.58.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.55.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.56.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.57.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.74.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.91.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.92.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.93.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.90.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.88.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.89.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.9.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.98.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.99.da4inka
- %APPDATA%\Roaming\Windows Update Service\msupdate.exe
- %TEMP%\windowsupdate_32908490328093248902.exe.97.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.94.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.95.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.96.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.79.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.8.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.80.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.78.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.75.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.76.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.77.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.85.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.86.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.87.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.84.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.81.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.82.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.83.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.13.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.14.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.15.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.12.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.109.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.11.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.110.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.2.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.20.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.21.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.19.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.16.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.17.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.18.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.10.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.100.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.101.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.1.da4inka
- %TEMP%\A9y6KPoh3.vbs
- %TEMP%\AEX7Hd12C.bat
- %TEMP%\SN1105910.bat
- %TEMP%\windowsupdate_32908490328093248902.exe.106.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.107.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.108.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.105.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.102.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.103.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.104.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.22.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.4.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.40.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.41.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.39.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.36.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.37.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.38.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.46.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.47.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.48.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.45.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.42.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.43.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.44.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.27.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.28.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.29.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.26.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.23.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.24.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.25.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.33.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.34.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.35.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.32.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.3.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.30.da4inka
- %TEMP%\windowsupdate_32908490328093248902.exe.31.da4inka
Перемещает следующие файлы:
- %TEMP%\windowsupdate_32908490328093248902.exe.1.da4inka в %TEMP%\A55FeZ9z8.exe
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
