Техническая информация
Для обеспечения автозапуска и распространения:
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\dllcache\midimap.dll файлом <SYSTEM32>\dllcache\midimap.dll
- <SYSTEM32>\midimap.dll файлом <SYSTEM32>\midimap.dll
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\sc.exe' delete cryptsvc
- '<SYSTEM32>\net1.exe' stop cryptsvc
- '<SYSTEM32>\net.exe' stop cryptsvc
- '<SYSTEM32>\sc.exe' config cryptsvc start= disabled
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Завершает или пытается завершить
следующие пользовательские процессы:
- wow.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\fbOF7ZdxRgDP43M.dll
- %TEMP%\K98eeqvdabCaeU8.dll
- %TEMP%\1a7356EEpdBsLv1.dll
- %TEMP%\64PpnDEVBeD7abU.dll
- %TEMP%\3ebNPL8geyGSjBy.dll
- %TEMP%\j5a1xbQ9nnFeQcq.dll
- %TEMP%\PVQQGxip3pEvt3j.dll
- %TEMP%\a8yZbSku6SA3oMf.dll
- %TEMP%\oQ8VGsaKjJ7gOpw.dll
- %TEMP%\Ur6vf8s10LKx6Gb.dll
- %TEMP%\4WqK6UAa8AJ9giZ.dll
- %TEMP%\8197icBeaU7UvO4.dll
- %TEMP%\Ggwyui9M7UALVod.dll
- %TEMP%\tuJBr1Mb6d92lVQ.dll
- %TEMP%\ZLHaPGfCLS8CEwJ.dll
- %TEMP%\8UfDb8A3lMO3yoy.dll
- %TEMP%\h3dc1VYU1PNER8r.dll
- %TEMP%\JH1gxgmd7JNthwe.dll
- %TEMP%\R5af4sdLcXPlHME.dll
- %TEMP%\VXsLtmedyeD7W3i.dll
- %TEMP%\5yrkD9467aQH7Ua.dll
- %TEMP%\lPpAkOLfMVQZovL.dll
- %TEMP%\0ik6V35J8MM5OOO.dll
- %TEMP%\BKVTcX0A3yIJJbY.dll
- %TEMP%\rlGt3nVrJ2Hbm9Q.dll
- %TEMP%\WPFIS3nXYpHmTZ5.dll
- %TEMP%\btX5CBaiu4J9c9n.dll
- %TEMP%\f9jboITmGALNrpH.dll
- %TEMP%\Foi2Lf0SWDKeYHA.dll
- %TEMP%\vEYefvI9f8Kq9iu.dll
- %TEMP%\kxoyWkZ3NCIQ99E.dll
- %TEMP%\cMYvuktqiF3P45g.dll
- %TEMP%\8bv1r277aO95JfY.dll
- %TEMP%\o2uPOHWYpC8916R.dll
- %TEMP%\wiiWNTbAZR47Mdn.dll
- %TEMP%\1B146bOSvX6SjCV.dll
- %TEMP%\aclbWrg94a5eCe9.dll
- %TEMP%\GHj747CaJO5wt59.dll
- %TEMP%\USs4id385F8KTe5.dll
- <SYSTEM32>\yumidimap.dll
- <SYSTEM32>\CRNJEUFU.ime
- <SYSTEM32>\CRNJEUFU10.dll
- <SYSTEM32>\ksuser.dll
- %TEMP%\48dSFtKoE47b465.dll
- %TEMP%\kYbsfAdVT6DndXj.dll
- <SYSTEM32>\dllcache\ksuser.dll
- %TEMP%\yGxgABWh9vF4kcV.dll
- %TEMP%\ehiJiXpNHyEER3A.dll
- %TEMP%\E7hj8n7pXmDW8b3.dll
- %TEMP%\Ib0Gru18t8FlHAd.dll
- %TEMP%\QNnN486jd8Icqa7.dll
- %TEMP%\73enNNNPm3HuJ96.dll
- %TEMP%\gTcCudg62yG51Zk.dll
- %TEMP%\umf8e3VVgpCha3n.dll
- %TEMP%\5OCIfmXaiR9wVFx.dll
- %TEMP%\e649GlhJWa80RKr.dll
- %TEMP%\Kl2enF6lgd7B9lc.dll
- %TEMP%\VjEsMW2uZd9e3nC.dll
- %TEMP%\aDWeyd36vdC0BTg.dll
- %TEMP%\9eV4VtKm4gBBevf.dll
- %TEMP%\pIFTpAdEKaASLMK.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\CRNJEUFU10.dll
Удаляет следующие файлы:
- <SYSTEM32>\dllcache\midimap.dll
- <SYSTEM32>\midimap.dll
Самоперемещается:
- из <Полный путь к вирусу> в C:\RECYCLER\146562.tmp
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'CicLoaderWndClass' WindowName: ''
