Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\.IE8\Shell\Open\Command] '' = '%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://123.g%a%oa%n%w.c%o%m/?01'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\reg.exe' Restore "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Desktop" "C:\aa.dat"
- '<SYSTEM32>\reg.exe' Restore "HKLM\SOFTWARE\Classes\CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}" "C:\aa.dat"
- '%WINDIR%\regedit.exe' /s C:\aa.dat
- '<SYSTEM32>\reg.exe' Restore "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Desktop" "C:\aa.dat"
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Desktop\НшЦ·ґуИ«.html
- %HOMEPATH%\Desktop\РЎЛµПВФШНш.html
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.IE8
- C:\aa.dat
Удаляет следующие файлы:
- C:\aa.dat
Другое:
Ищет следующие окна:
- ClassName: 'RegEdit_RegEdit' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
