Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Microsoft' = '<SYSTEM32>\TOLO.EXE'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,<SYSTEM32>\TOLO.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RegistriEditor.exe] 'debugger' = 'notepad'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Microsoft' = '<SYSTEM32>\TOLO.EXE'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Printer Cpl' = '%WINDIR%\DOSEN.EXE'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Microsoft Word' = '<SYSTEM32>\ANDRE.EXE'
- [<HKLM>\SOFTWARE\Classes\regfile\shell\open\command] '' = 'cmd.exe /c del "%1"'
- [<HKCU>\Control Panel\Desktop] 'SCRNSAVE.EXE' = '<SYSTEM32>Merlin.scr'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit32.exe] 'debugger' = 'notepad'
- [<HKLM>\SOFTWARE\Classes\piffile\shell\open\command] '' = 'jalangkung.exe %1'
- [<HKLM>\SOFTWARE\Classes\comfile\shell\open\command] '' = 'jantungan.exe %1'
- [<HKLM>\SOFTWARE\Classes\exefile\shell\open\command] '' = 'TOLO.exe %1'
- [<HKLM>\SOFTWARE\Classes\batfile\shell\open\command] '' = 'jalang.exe %1'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe] 'debugger' = 'notepad'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe] 'debugger' = 'notepad'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe] 'debugger' = 'notepad'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\install.exe] 'debugger' = 'notepad'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
блокирует запуск следующих системных утилит:
- Редактора реестра (RegEdit)
Создает и запускает на исполнение:
- %WINDIR%\DOSEN.EXE
- <SYSTEM32>\ANDRE.EXE
Завершает или пытается завершить
следующие пользовательские процессы:
- AVGCTRL.EXE
Изменяет следующие настройки проводника Windows (Windows Explorer):
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFind' = '00000001'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\jantungan.exe
- <SYSTEM32>\jalangkung.exe
- %WINDIR%\DOSEN.EXE
- <SYSTEM32>\ANDRE.EXE
- <SYSTEM32>\TOLO.exe
- <SYSTEM32>\jalang.exe
- <SYSTEM32>\Merlin.scr
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\jantungan.exe
- <SYSTEM32>\ANDRE.EXE
- %WINDIR%\DOSEN.EXE
- <SYSTEM32>\jalangkung.exe
- <SYSTEM32>\TOLO.exe
- <SYSTEM32>\Merlin.scr
- <SYSTEM32>\jalang.exe
Удаляет следующие файлы:
- %TEMP%\~DF7B8A.tmp
- %TEMP%\~DF8A48.tmp
- %TEMP%\~DF8EEA.tmp
- %TEMP%\~DF3D78.tmp
- %TEMP%\~DF5729.tmp
- %TEMP%\~DF7746.tmp
- %TEMP%\~DFB3B0.tmp
- %TEMP%\~DFF0D4.tmp
- %TEMP%\~DFE33.tmp
- %TEMP%\~DF2BA2.tmp
- %TEMP%\~DFCCB6.tmp
- %TEMP%\~DFDCD3.tmp
- %TEMP%\~DFEDBB.tmp
- %TEMP%\~DF87FF.tmp
- %TEMP%\~DFA232.tmp
- %TEMP%\~DFBFA9.tmp
- %TEMP%\~DF62A8.tmp
- %TEMP%\~DF68C0.tmp
- %TEMP%\~DF72F4.tmp
- %TEMP%\~DFC32B.tmp
- %TEMP%\~DF1731.tmp
- %TEMP%\~DF1E2D.tmp
- %TEMP%\~DF2E1D.tmp
- %TEMP%\~DFD691.tmp
- %TEMP%\~DFD8F4.tmp
- %TEMP%\~DFFEEA.tmp
- %TEMP%\~DF7966.tmp
- %TEMP%\~DF80F7.tmp
- %TEMP%\~DF9B88.tmp
- %TEMP%\~DF2C7D.tmp
- %TEMP%\~DF4CE1.tmp
- %TEMP%\~DF68D3.tmp
- %TEMP%\~DFC122.tmp
- %TEMP%\~DF2974.tmp
- %TEMP%\~DF27B5.tmp
- %TEMP%\~DF3D27.tmp
- %TEMP%\~DFDB73.tmp
- %TEMP%\~DFE6A1.tmp
- %TEMP%\~DFEDA.tmp
- %TEMP%\~DF6B35.tmp
- %TEMP%\~DF8359.tmp
- %TEMP%\~DF92A1.tmp
- %TEMP%\~DF345F.tmp
- %TEMP%\~DF48A0.tmp
- %TEMP%\~DF494B.tmp
- %TEMP%\~DFA5FC.tmp
- %TEMP%\~DFEB6C.tmp
- %TEMP%\~DFFF00.tmp
- %TEMP%\~DFD8.tmp
- %TEMP%\~DFA85E.tmp
- %TEMP%\~DFC21A.tmp
- %TEMP%\~DFE767.tmp
- %TEMP%\~DF1004.tmp
- %TEMP%\~DF210A.tmp
- %TEMP%\~DF412D.tmp
- %TEMP%\~DFEECA.tmp
- %TEMP%\~DFF2B1.tmp
- %TEMP%\~DF430.tmp
- %TEMP%\~DF349F.tmp
- %TEMP%\~DF6A23.tmp
- %TEMP%\~DF8F16.tmp
- %TEMP%\~DF8EAE.tmp
- %TEMP%\~DF403F.tmp
- %TEMP%\~DF546C.tmp
- %TEMP%\~DF6D8B.tmp
- %TEMP%\~DF51CA.tmp
- %TEMP%\~DF7092.tmp
- %TEMP%\~DF72C7.tmp
- %TEMP%\~DFFDE3.tmp
- %TEMP%\~DF2A7B.tmp
- %TEMP%\~DF4562.tmp
- %TEMP%\~DF858A.tmp
- %TEMP%\~DFC1D2.tmp
- %TEMP%\~DFCE0B.tmp
- %TEMP%\~DFE769.tmp
- %TEMP%\~DF9C4C.tmp
- %TEMP%\~DF98F7.tmp
- %TEMP%\~DFB13B.tmp
- %TEMP%\~DFAE4E.tmp
- %TEMP%\~DFB4DE.tmp
- %TEMP%\~DFAC08.tmp
- %TEMP%\~DF4B79.tmp
- %TEMP%\~DF558C.tmp
- %TEMP%\~DF91F8.tmp
- %TEMP%\~DFD123.tmp
- %TEMP%\~DF136D.tmp
- %TEMP%\~DF2508.tmp
- %TEMP%\~DF4A39.tmp
- %TEMP%\~DFEB43.tmp
- %TEMP%\~DFBF6.tmp
- %TEMP%\~DF108D.tmp
- %TEMP%\~DFB9A1.tmp
- %TEMP%\~DFDC4B.tmp
- %TEMP%\~DFE77F.tmp
- %TEMP%\~DF9A8C.tmp
- %TEMP%\~DFB5D4.tmp
- %TEMP%\~DFBE62.tmp
- %TEMP%\~DF8DF.tmp
- %TEMP%\~DF2A24.tmp
- %TEMP%\~DF7049.tmp
- %TEMP%\~DF44E0.tmp
- %TEMP%\~DF1D94.tmp
- %TEMP%\~DFF49F.tmp
- %TEMP%\~DF1078.tmp
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
