Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{PR0GH802-4692-NX8H-6S1H-IN024793O58I}] 'StubPath' = '%PROGRAM_FILES%\Adobe\plk.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\AliWangWang\Netcro.bat' -on "%PROGRAM_FILES%\Adobe\ations.sot" -ot file -op "dacl:p_nc;sacl:p_nc" -actn setprot -actn clear -clr "dacl,sacl" -actn ace -ace "n:everyone;p:read_ex"
- '%PROGRAM_FILES%\AliWangWang\Netcro.bat' -on "%PROGRAM_FILES%\AliWangWang\wangw.exe" -ot file -op "dacl:p_nc;sacl:p_nc" -actn setprot -actn clear -clr "dacl,sacl" -actn ace -ace "n:everyone;p:read_ex"
- '%PROGRAM_FILES%\AliWangWang\Netcro.bat' -on "%PROGRAM_FILES%\AliWangWang\tb.ico" -ot file -op "dacl:p_nc;sacl:p_nc" -actn setprot -actn clear -clr "dacl,sacl" -actn ace -ace "n:everyone;p:read_ex"
- '%PROGRAM_FILES%\AliWangWang\Netcro.bat' -on "%HOMEPATH%\Desktop\Internet Explorer.lnk" -ot file -op "dacl:p_nc;sacl:p_nc" -actn setprot -actn clear -clr "dacl,sacl" -actn ace -ace "n:everyone;p:read_ex"
- '%PROGRAM_FILES%\AliWangWang\Netcro.bat' -on "%PROGRAM_FILES%\Adobe\duoyu.oed" -ot file -op "dacl:p_nc;sacl:p_nc" -actn setprot -actn clear -clr "dacl,sacl" -actn ace -ace "n:everyone;p:read_ex"
- '%PROGRAM_FILES%\AliWangWang\Netcro.bat' -on "%PROGRAM_FILES%\Adobe\youwo.sot" -ot file -op "dacl:p_nc;sacl:p_nc" -actn setprot -actn clear -clr "dacl,sacl" -actn ace -ace "n:everyone;p:read_ex"
- '%PROGRAM_FILES%\AliWangWang\Netcro.bat' -on "%ALLUSERSPROFILE%\Desktop\Internet Explorer.lnk" -ot file -op "dacl:p_nc;sacl:p_nc" -actn setprot -actn clear -clr "dacl,sacl" -actn ace -ace "n:everyone;p:read_ex"
- '%PROGRAM_FILES%\AliWangWang\Netcro.bat' -on "%ALLUSERSPROFILE%\Desktop\上网主页.lnk" -ot file -op "dacl:p_nc;sacl:p_nc" -actn setprot -actn clear -clr "dacl,sacl" -actn ace -ace "n:everyone;p:read_ex"
- '%PROGRAM_FILES%\AliWangWang\wangw.exe'
- '%PROGRAM_FILES%\AliWangWang\Netcro.bat' -on "%ALLUSERSPROFILE%\Desktop\特价购物.lnk" -ot file -op "dacl:p_nc;sacl:p_nc" -actn setprot -actn clear -clr "dacl,sacl" -actn ace -ace "n:everyone;p:read_ex"
- '%PROGRAM_FILES%\AliWangWang\Netcro.bat' -on "%ALLUSERSPROFILE%\Desktop\在线小游戏.lnk" -ot file -op "dacl:p_nc;sacl:p_nc" -actn setprot -actn clear -clr "dacl,sacl" -actn ace -ace "n:everyone;p:read_ex"
- '%PROGRAM_FILES%\AliWangWang\Netcro.bat' -on "%ALLUSERSPROFILE%\Desktop\淘宝购物.lnk" -ot file -op "dacl:p_nc;sacl:p_nc" -actn setprot -actn clear -clr "dacl,sacl" -actn ace -ace "n:everyone;p:read_ex"
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\AliWangWang\tb.ico
- %PROGRAM_FILES%\Adobe\mnspor.nls
- %PROGRAM_FILES%\AliWangWang\Netcro.bat
- %ALLUSERSPROFILE%\Start Menu\aabcd.lnk
- %ALLUSERSPROFILE%\Start Menu\aabc.lnk
- %PROGRAM_FILES%\Adobe\duoyu.oed
- %PROGRAM_FILES%\Adobe\plk.exe
- %PROGRAM_FILES%\Adobe\youwo.sot
- %PROGRAM_FILES%\Adobe\ations.sot
- %PROGRAM_FILES%\AliWangWang\wangw.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %PROGRAM_FILES%\AliWangWang\tb.ico
- %PROGRAM_FILES%\AliWangWang\Netcro.bat
- %ALLUSERSPROFILE%\Desktop\Internet Explorer.lnk
- %PROGRAM_FILES%\Adobe\duoyu.oed
- %PROGRAM_FILES%\Adobe\ations.sot
- %PROGRAM_FILES%\AliWangWang\wangw.exe
- %PROGRAM_FILES%\Adobe\youwo.sot
Перемещает следующие файлы:
- %ALLUSERSPROFILE%\Start Menu\aabcd.lnk в %HOMEPATH%\Desktop\Internet Explorer.lnk
- %ALLUSERSPROFILE%\Start Menu\aabc.lnk в %ALLUSERSPROFILE%\Desktop\Internet Explorer.lnk
Другое:
Ищет следующие окна:
- ClassName: 'SysListView32' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'Progman' WindowName: '(null)'
- ClassName: 'SHELLDLL_DefView' WindowName: '(null)'
