Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'ESUGUnEng1' = 'C:\RunTwice.bat'
Вредоносные функции:
Запускает на исполнение:
- 'C:\SymNoNav\ESUGUnEn.exe' /LF".\tmplog.txt" /DELVAL"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce" "ESUGUNENG5"
- 'C:\SymNoNav\ESUGUnEn.exe' /LF".\tmplog.txt" /DELVAL"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce" "ESUGUNENG4"
- 'C:\SymNoNav\ESUGDlgControl.exe' -title "NONAV" -msg "NoNav will remove NAVCE and Symantec AV version 4, 5, 7, 8, 9, SCF, SSC, SCS 2.0 and AMS from the filesystem and registry. Do you want to continue?" -confirm
- 'C:\SymNoNav\ESUGUnEn.exe' /lf".\logs\date_Tue_12_13_2016-time_12_31_03_25_nonav.log" /RUNONCE"C:\RunTwice.bat"
- 'C:\SymNoNav\ESUGUnEn.exe' /LF".\tmplog.txt" /DELVAL"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce" "ESUGUNENG1"
- '<SYSTEM32>\cmd.exe' /c nonav.bat
- 'C:\SymNoNav\ESUGUnEn.exe' /LF".\tmplog.txt" /DELVAL"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce" "ESUGUNENG3"
- 'C:\SymNoNav\ESUGUnEn.exe' /LF".\tmplog.txt" /DELVAL"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce" "ESUGUNENG2"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\~SFX58505a84\ServiceShutdown.exe
- %TEMP%\~SFX58505a84\SCSKeys.reg
- %TEMP%\~SFX58505a84\sevinst.exe
- %TEMP%\~SFX58505a84\ServiceShutdown_in.txt
- %TEMP%\~SFX58505a84\noquar.reg
- %TEMP%\~SFX58505a84\noquar.inf
- %TEMP%\~SFX58505a84\RTVSTOP.EXE
- %TEMP%\~SFX58505a84\ProductCodes.txt
- C:\SymNoNav\CurrDir.txt
- C:\SymNoNav\logs\date_Tue_12_13_2016-time_12_31_03_25_nonav.log
- C:\RunTwice.bat
- C:\SymNoNav\tmplog.txt
- %TEMP%\~SFX58505a84\UnEngVar.BAT
- %TEMP%\~SFX58505a84\SilentNoNav.bat
- %TEMP%\~SFX58505a84\UnregisterDLLs.bat
- %TEMP%\~SFX58505a84\UnEngVar.Txt
- %TEMP%\~SFX58505a84\nonav.txt
- %TEMP%\~SFX58505a84\ESUGMSIConvert.exe
- %TEMP%\~SFX58505a84\ESUGMSI.exe
- %TEMP%\~SFX58505a84\ESUGSleep.exe
- %TEMP%\~SFX58505a84\esugreg.exe
- %TEMP%\~SFX58505a84\EnumMSI.bat
- %TEMP%\~SFX58505a84\autorun.iff
- %TEMP%\~SFX58505a84\ESUGENum.exe
- %TEMP%\~SFX58505a84\ESUGDlgControl.exe
- %TEMP%\~SFX58505a84\nonav.inf
- %TEMP%\~SFX58505a84\NONAV.BAT
- %TEMP%\~SFX58505a84\nonav.reg
- %TEMP%\~SFX58505a84\NONAV.PDF
- %TEMP%\~SFX58505a84\MSIUnst.bat
- %TEMP%\~SFX58505a84\ESUGUnEn.exe
- %TEMP%\~SFX58505a84\nolu.reg
- %TEMP%\~SFX58505a84\nolu.inf
Удаляет следующие файлы:
- C:\SymNoNav\tmplog.txt
- C:\SymNoNav\CurrDir.txt
Перемещает следующие файлы:
- %TEMP%\~SFX58505a84\ProductCodes.txt в C:\SymNoNav\ProductCodes.txt
- %TEMP%\~SFX58505a84\RTVSTOP.EXE в C:\SymNoNav\RTVSTOP.EXE
- %TEMP%\~SFX58505a84\SCSKeys.reg в C:\SymNoNav\SCSKeys.reg
- %TEMP%\~SFX58505a84\noquar.reg в C:\SymNoNav\noquar.reg
- %TEMP%\~SFX58505a84\nonav.reg в C:\SymNoNav\nonav.reg
- %TEMP%\~SFX58505a84\nonav.txt в C:\SymNoNav\nonav.txt
- %TEMP%\~SFX58505a84\noquar.inf в C:\SymNoNav\noquar.inf
- %TEMP%\~SFX58505a84\UnEngVar.BAT в C:\SymNoNav\UnEngVar.BAT
- %TEMP%\~SFX58505a84\UnEngVar.Txt в C:\SymNoNav\UnEngVar.Txt
- %TEMP%\~SFX58505a84\UnregisterDLLs.bat в C:\SymNoNav\UnregisterDLLs.bat
- %TEMP%\~SFX58505a84\SilentNoNav.bat в C:\SymNoNav\SilentNoNav.bat
- %TEMP%\~SFX58505a84\ServiceShutdown.exe в C:\SymNoNav\ServiceShutdown.exe
- %TEMP%\~SFX58505a84\ServiceShutdown_in.txt в C:\SymNoNav\ServiceShutdown_in.txt
- %TEMP%\~SFX58505a84\sevinst.exe в C:\SymNoNav\sevinst.exe
- %TEMP%\~SFX58505a84\ESUGMSIConvert.exe в C:\SymNoNav\ESUGMSIConvert.exe
- %TEMP%\~SFX58505a84\esugreg.exe в C:\SymNoNav\esugreg.exe
- %TEMP%\~SFX58505a84\ESUGSleep.exe в C:\SymNoNav\ESUGSleep.exe
- %TEMP%\~SFX58505a84\ESUGMSI.exe в C:\SymNoNav\ESUGMSI.exe
- %TEMP%\~SFX58505a84\EnumMSI.bat в C:\SymNoNav\EnumMSI.bat
- %TEMP%\~SFX58505a84\ESUGDlgControl.exe в C:\SymNoNav\ESUGDlgControl.exe
- %TEMP%\~SFX58505a84\ESUGENum.exe в C:\SymNoNav\ESUGENum.exe
- %TEMP%\~SFX58505a84\NONAV.BAT в C:\SymNoNav\NONAV.BAT
- %TEMP%\~SFX58505a84\nonav.inf в C:\SymNoNav\nonav.inf
- %TEMP%\~SFX58505a84\NONAV.PDF в C:\SymNoNav\NONAV.PDF
- %TEMP%\~SFX58505a84\nolu.reg в C:\SymNoNav\nolu.reg
- %TEMP%\~SFX58505a84\ESUGUnEn.exe в C:\SymNoNav\ESUGUnEn.exe
- %TEMP%\~SFX58505a84\MSIUnst.bat в C:\SymNoNav\MSIUnst.bat
- %TEMP%\~SFX58505a84\nolu.inf в C:\SymNoNav\nolu.inf
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
