Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'ESUGUnEng1' = 'C:\RunTwice.bat'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\SymNoNav\ESUGUnEn.exe' /LF".\tmplog.txt" /DELVAL"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce" "ESUGUNENG4"
- 'C:\SymNoNav\ESUGUnEn.exe' /LF".\tmplog.txt" /DELVAL"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce" "ESUGUNENG5"
- 'C:\SymNoNav\ESUGUnEn.exe' /lf".\logs\date_Sun_07_05_2015-time_23_59_05_29_nonav.log" /RUNONCE"C:\RunTwice.bat"
- 'C:\SymNoNav\ESUGUnEn.exe' /LF".\tmplog.txt" /DELVAL"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce" "ESUGUNENG1"
- 'C:\SymNoNav\ESUGUnEn.exe' /LF".\tmplog.txt" /DELVAL"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce" "ESUGUNENG2"
- 'C:\SymNoNav\ESUGUnEn.exe' /LF".\tmplog.txt" /DELVAL"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce" "ESUGUNENG3"
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c NoNav.bat
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\~SFX559a2734\SCSKeys.reg
- %TEMP%\~SFX559a2734\RTVSTOP.EXE
- %TEMP%\~SFX559a2734\ServiceShutdown_in.txt
- %TEMP%\~SFX559a2734\ServiceShutdown.exe
- %TEMP%\~SFX559a2734\noquar.inf
- %TEMP%\~SFX559a2734\nonav.txt
- %TEMP%\~SFX559a2734\ProductCodes.txt
- %TEMP%\~SFX559a2734\noquar.reg
- C:\SymNoNav\tmplog.txt
- C:\SymNoNav\CurrDir.txt
- C:\RunTwice.bat
- C:\SymNoNav\logs\date_Sun_07_05_2015-time_23_59_05_29_nonav.log
- %TEMP%\~SFX559a2734\UnEngVar.BAT
- %TEMP%\~SFX559a2734\sevinst.exe
- %TEMP%\~SFX559a2734\UnregisterDLLs.bat
- %TEMP%\~SFX559a2734\UnEngVar.Txt
- %TEMP%\~SFX559a2734\ESUGMSIConvert.exe
- %TEMP%\~SFX559a2734\ESUGMSI.exe
- %TEMP%\~SFX559a2734\ESUGSleep.exe
- %TEMP%\~SFX559a2734\esugreg.exe
- %TEMP%\~SFX559a2734\EnumMSI.bat
- %TEMP%\~SFX559a2734\autorun.iff
- %TEMP%\~SFX559a2734\ESUGENum.exe
- %TEMP%\~SFX559a2734\ESUGDlgControl.exe
- %TEMP%\~SFX559a2734\nonav.inf
- %TEMP%\~SFX559a2734\NONAV.BAT
- %TEMP%\~SFX559a2734\nonav.reg
- %TEMP%\~SFX559a2734\NONAV.PDF
- %TEMP%\~SFX559a2734\MSIUnst.bat
- %TEMP%\~SFX559a2734\ESUGUnEn.exe
- %TEMP%\~SFX559a2734\nolu.reg
- %TEMP%\~SFX559a2734\nolu.inf
Удаляет следующие файлы:
- C:\SymNoNav\tmplog.txt
- C:\SymNoNav\CurrDir.txt
Перемещает следующие файлы:
- %TEMP%\~SFX559a2734\noquar.reg в C:\SymNoNav\noquar.reg
- %TEMP%\~SFX559a2734\ProductCodes.txt в C:\SymNoNav\ProductCodes.txt
- %TEMP%\~SFX559a2734\RTVSTOP.EXE в C:\SymNoNav\RTVSTOP.EXE
- %TEMP%\~SFX559a2734\nonav.reg в C:\SymNoNav\nonav.reg
- %TEMP%\~SFX559a2734\nonav.txt в C:\SymNoNav\nonav.txt
- %TEMP%\~SFX559a2734\noquar.inf в C:\SymNoNav\noquar.inf
- %TEMP%\~SFX559a2734\SCSKeys.reg в C:\SymNoNav\SCSKeys.reg
- %TEMP%\~SFX559a2734\UnEngVar.BAT в C:\SymNoNav\UnEngVar.BAT
- %TEMP%\~SFX559a2734\UnEngVar.Txt в C:\SymNoNav\UnEngVar.Txt
- %TEMP%\~SFX559a2734\UnregisterDLLs.bat в C:\SymNoNav\UnregisterDLLs.bat
- %TEMP%\~SFX559a2734\ServiceShutdown.exe в C:\SymNoNav\ServiceShutdown.exe
- %TEMP%\~SFX559a2734\ServiceShutdown_in.txt в C:\SymNoNav\ServiceShutdown_in.txt
- %TEMP%\~SFX559a2734\sevinst.exe в C:\SymNoNav\sevinst.exe
- %TEMP%\~SFX559a2734\NONAV.PDF в C:\SymNoNav\NONAV.PDF
- %TEMP%\~SFX559a2734\ESUGMSI.exe в C:\SymNoNav\ESUGMSI.exe
- %TEMP%\~SFX559a2734\ESUGMSIConvert.exe в C:\SymNoNav\ESUGMSIConvert.exe
- %TEMP%\~SFX559a2734\esugreg.exe в C:\SymNoNav\esugreg.exe
- %TEMP%\~SFX559a2734\EnumMSI.bat в C:\SymNoNav\EnumMSI.bat
- %TEMP%\~SFX559a2734\ESUGDlgControl.exe в C:\SymNoNav\ESUGDlgControl.exe
- %TEMP%\~SFX559a2734\ESUGENum.exe в C:\SymNoNav\ESUGENum.exe
- %TEMP%\~SFX559a2734\ESUGSleep.exe в C:\SymNoNav\ESUGSleep.exe
- %TEMP%\~SFX559a2734\nolu.reg в C:\SymNoNav\nolu.reg
- %TEMP%\~SFX559a2734\NONAV.BAT в C:\SymNoNav\NONAV.BAT
- %TEMP%\~SFX559a2734\nonav.inf в C:\SymNoNav\nonav.inf
- %TEMP%\~SFX559a2734\ESUGUnEn.exe в C:\SymNoNav\ESUGUnEn.exe
- %TEMP%\~SFX559a2734\MSIUnst.bat в C:\SymNoNav\MSIUnst.bat
- %TEMP%\~SFX559a2734\nolu.inf в C:\SymNoNav\nolu.inf
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
