Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'Explorer.exe, ampatuan.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = 'Userinit.exe, readme.bat'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'I Will Always Be With You Ampatuan A.K.A Pussy' = '%HOMEPATH%\Start Menu\Programs\Startup\massacre.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'spyware' = '%WINDIR%\pussy_massacre.exe /s'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'hehehe' = '<SYSTEM32>\ampatuan.exe'
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\Folder.htt
- <Имя диска съемного носителя>:\desktop.ini
- <Имя диска съемного носителя>:\New Folder.exe
- <Имя диска съемного носителя>:\readme.exe
- <Имя диска съемного носителя>:\readme.bat
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
изменяет следующие системные настройки:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer] 'NoFolderOptions' = '00000001'
Запускает на исполнение:
- '%WINDIR%\explorer.exe' <Имя вируса>
Завершает или пытается завершить
следующие пользовательские процессы:
- GUARD.EXE
- NAVAPW32.EXE
- nod32.exe
- Drwebupw.exe
- Drwebwcl.exe
- fsavgui.exe
- cabalmain.exe
- ccapp.exe
- MCAGENT.EXE
- ZONEALARM.EXE
- firefox.exe
- safari.exe
- AVGCTRL.EXE
- AVP.COM
- AVP.EXE
- ashAvast.exe
- avgcc.exe
- AVGCC32.EXE
- drweb.exe
- Drweb32w.exe
- drweb386.exe
- AVP32.EXE
- AVPCC.EXE
- AVPM.EXE
Ищет следующие окна с целью
обнаружения различных программ и игр:
- ClassName: 'YahooBuddyMain' WindowName: 'Yahoo! Messenger'
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Internet Explorer\Main] 'Window Title' = '-= AMPATUAN MASSACRE a.k.a PUSSY MASSACRE, MAGJACKOL NA KAYO! =-'
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- C:\New Folder.exe
- C:\Folder.htt
- C:\desktop.ini
- %TEMP%\~DF96A7.tmp
- C:\readme.exe
- C:\readme.bat
Присваивает атрибут 'скрытый' для следующих файлов:
- <Имя диска съемного носителя>:\Folder.htt
- <Имя диска съемного носителя>:\desktop.ini
- C:\Folder.htt
- C:\desktop.ini
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: '<SYSTEM32>\cscript.exe'
- ClassName: '' WindowName: 'Tiny H-Pot v1.7'
- ClassName: '' WindowName: 'Angar21 (x32) - build Aug 25 2014'
- ClassName: '' WindowName: '<WINDOWS_KILLER>'
- ClassName: '' WindowName: '<ANALYSETOOLS_DIR>\DbgPrint\DbgPrintLog.exe'
- ClassName: '' WindowName: 'MS_WebcheckMonitor'
- ClassName: '' WindowName: 'Program Manager'
- ClassName: '' WindowName: 'Connections Tray'
- ClassName: '' WindowName: 'Power Meter'
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: 'SysFader'
- ClassName: 'ATL:007BF380' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: '' WindowName: 'CiceroUIWndFrame'
- ClassName: '' WindowName: 'Form1'
- ClassName: '' WindowName: 'AngarCl'
- ClassName: '' WindowName: 'TF_FloatingLangBar_WndTitle'
- ClassName: '' WindowName: '<Имя вируса>'
