Техническая информация
Для обеспечения автозапуска и распространения:
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\mshtml.dll файлом <SYSTEM32>\mshtml.dll.mod
- <SYSTEM32>\dllcache\mshtml.dll файлом <SYSTEM32>\dllcache\mshtml.dll
Вредоносные функции:
Создает и запускает на исполнение:
- '%WINDIR%\bnsfKpM.exe'
- 'C:\DNFОЮЛ«.exe'
- 'C:\DNF_admin.exe'
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\delself.bat" "
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\cUrWy.rCm
- %TEMP%\ComB.tmp
- %TEMP%\delself.bat
- <SYSTEM32>\cUrWy.rCm
- C:\DNFОЮЛ«.exe
- C:\DNF_admin.exe
- %WINDIR%\bnsfKpM.exe
- %TEMP%\ComA.tmp
Удаляет следующие файлы:
- C:\DNF_admin.exe
Перемещает следующие системные файлы:
- <SYSTEM32>\mshtml.dll в <SYSTEM32>\mshtml.dllkFkHw
- <SYSTEM32>\dllcache\mshtml.dll в <SYSTEM32>\dllcache\mshtml.dllkFkHw
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: '12345'
- ClassName: 'TWINCONTROL' WindowName: '????????????'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: '54321' WindowName: '12345'
