Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'SystemSound' = '<SYSTEM32>\stats\credentials.exe'
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\system.bat
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
Запускает на исполнение:
- <SYSTEM32>\taskkill.exe /IM App.exe /f
- <SYSTEM32>\attrib.exe +r +a +s +h <Имя диска съемного носителя>:\system.bat
- <SYSTEM32>\taskkill.exe /IM regedit.exe /f
- <SYSTEM32>\taskkill.exe /IM taskmgr.exe /f
- <SYSTEM32>\taskkill.exe /IM notepad.exe /f
- <SYSTEM32>\taskkill.exe /IM mmc.exe /f
- <SYSTEM32>\attrib.exe +r +a +s +h E:\system.bat
- <SYSTEM32>\attrib.exe +r +a +s +h H:\system.bat
- <SYSTEM32>\attrib.exe +r +a +s +h I:\system.bat
- <SYSTEM32>\attrib.exe +r +a +s +h J:\system.bat
- <SYSTEM32>\taskkill.exe /IM IEXPLORE.exe /f
- <SYSTEM32>\attrib.exe +r +a +s +h F:\system.bat
- <SYSTEM32>\attrib.exe +r +a +s +h G:\system.bat
- <SYSTEM32>\reg.exe add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /v ShowSuperHidden /t REG_dword /d 0x00000000 /f
- <SYSTEM32>\reg.exe add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /v HideFileExt /t REG_dword /d 0x00000001 /f
- <SYSTEM32>\reg.exe add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\policies\Explorer /v NoDriveTypeAutoRun /t REG_DWORD /d 0x00000091 /f
- <SYSTEM32>\cmd.exe /c ""%TEMP%\1.tmp\Lovezone.bat" "
- <SYSTEM32>\attrib.exe -r -a -s -h Lovezone.exe
- <SYSTEM32>\attrib.exe +r +a +s +h Lovezone.exe
- <SYSTEM32>\reg.exe add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v SystemSound /t REG_SZ /d <SYSTEM32>\stats\credentials.exe /f
- <SYSTEM32>\taskkill.exe /IM autoruns.exe /f
- <SYSTEM32>\taskkill.exe /IM regedit.exe /f
- <SYSTEM32>\taskkill.exe /IM WinRar.exe /f
- <SYSTEM32>\reg.exe add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoPropertiesMyComputer /t REG_dword /d 0x00000001 /f
- <SYSTEM32>\reg.exe add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoControlPanel /t REG_dword /d 0x00000001 /f
- <SYSTEM32>\taskkill.exe /IM nero.exe /f
Завершает или пытается завершить
следующие пользовательские процессы:
- iexplore.exe
Изменяет следующие настройки проводника Windows (Windows Explorer):
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoControlPanel' = '00000001'
Принудительно разрешает автозапуск со съемных носителей.
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\stats\<Имя вируса>.exe
- %TEMP%\1.tmp\Lovezone.bat
Присваивает атрибут 'скрытый' для следующих файлов:
- <Имя диска съемного носителя>:\system.bat
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
