Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im THUNDER*
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\121c867.bat
- nul
- %HOMEPATH%\desktop\+o¦++½-+-+++.lnk
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\121c867.bat
Самоперемещается
- из <Полный путь к файлу> в <Текущая директория>\╨╢╘╪.exe
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\121C867.bat" "<Полный путь к файлу>" "' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\121C867.bat" "<Полный путь к файлу>" "
- '%WINDIR%\syswow64\reg.exe' Add "HKCU\Software\Microsoft\Internet Explorer\MenuExt\╩╣╙├╙Ω│┐╝ВЅ╦┘╤╕└╫╧┬╘╪" /ve /d "<Текущая директория>\BHO\geturl.htm" /f
- '%WINDIR%\syswow64\reg.exe' Add "HKLM\SOFTWARE\Thunder Network\ThunderOem\thunder_backwnd" /v "Version" /d "7.10.10.102" /f
- '%WINDIR%\syswow64\reg.exe' Add "HKLM\SOFTWARE\Thunder Network\ThunderOem\thunder_backwnd" /v "addinsdir" /d "<Текущая директория>\Addins" /f
- '%WINDIR%\syswow64\reg.exe' Add "HKLM\SOFTWARE\Thunder Network\ThunderOem\thunder_backwnd" /v "instdir" /d "<Текущая директория>\\" /f
- '%WINDIR%\syswow64\reg.exe' Add "HKLM\SOFTWARE\Thunder Network\ThunderOem\thunder_backwnd" /v "dir" /d "<Текущая директория>\\" /f
- '%WINDIR%\syswow64\reg.exe' Add "HKLM\SOFTWARE\Thunder Network\ThunderOem\thunder_backwnd" /v "Path" /d "<Текущая директория>\Program\Thunder.exe" /f
- '%WINDIR%\syswow64\regsvr32.exe' /s BHO\Platform\np_tdieplat.dll
- '%WINDIR%\syswow64\regsvr32.exe' /s BHO\ThunderAgent.dll
- '%WINDIR%\syswow64\reg.exe' Delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\explorer\Browser Helper Objects\{889D2FEB-5411-4565-8998-1DD2C5261283}" /f
- '%WINDIR%\syswow64\reg.exe' Delete "HKCU\Software\Microsoft\Internet Explorer\MenuExt\╩╣╙├╙Ω│┐╝ВЅ╦┘╤╕└╫╧┬╘╪" /f
- '%WINDIR%\syswow64\reg.exe' Delete "HKLM\Software\Wow6432Node\Thunder Network" /f
- '%WINDIR%\syswow64\reg.exe' Delete "HKCU\Software\Thunder Network" /f
- '%WINDIR%\syswow64\reg.exe' Delete "HKLM\Software\Thunder Network" /f
- '%WINDIR%\syswow64\reg.exe' Delete "HKCR\Xunlei.ThunderSkin.6" /f
- '%WINDIR%\syswow64\reg.exe' Delete "HKCR\Xunlei.TDFile.6" /f
- '%WINDIR%\syswow64\reg.exe' Delete "HKCR\Xunlei.LSTFile.6" /f
- '%WINDIR%\syswow64\reg.exe' Delete "HKCR\Xunlei.Bittorrent.6" /f
- '%WINDIR%\syswow64\reg.exe' Delete "HKCR\Software\thunder" /f
- '%WINDIR%\syswow64\regsvr32.exe' /s /u BHO\Platform\np_tdieplat.dll
- '%WINDIR%\syswow64\regsvr32.exe' /s /u BHO\ThunderAgent.dll
- '%WINDIR%\syswow64\regsvr32.exe' /s /u BHO\XunLeiBHO.dll
- '%WINDIR%\syswow64\reg.exe' Add "HKCU\Software\Microsoft\Internet Explorer\MenuExt\╩╣╙├╙Ω│┐╝ВЅ╦┘╤╕└╫╧┬╘╪" /v "Contexts" /t REG_DWORD /d "0x00000022"
- '%WINDIR%\syswow64\mshta.exe' VBScript:Execute("Set a=CreateObject(""WScript.Shell""):Set b=a.CreateShortcut(a.SpecialFolders(""Desktop"") & ""\╙Ω│┐╝ВЅ╦┘╤╕└╫.lnk""):b.TargetPath=""<Текущая директория>\Program\Thunder.exe"":...
