Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'nwiz' = 'pcpo32.exe'
Изменяет следующие исполняемые системные файлы:
- <DRIVERS>\cdaudio.sys
Заражает следующие исполняемые файлы:
- <DRIVERS>\cdaudio.sys
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\pcpo32.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Завершает или пытается завершить
следующие пользовательские процессы:
- 360tray.exe
Устраняет перехваты фукнций в SSDT (System Service Descriptor Table).
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\pcpo32.dll
- <SYSTEM32>\pcpo32.ini
- <SYSTEM32>\pcpo32.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\pcpo32.exe
Удаляет следующие файлы:
- <SYSTEM32>\pcpo32.ini
- <DRIVERS>\cdaudio.sys
Самоудаляется.
Сетевая активность:
UDP:
- DNS ASK www.mi###soft.com
- DNS ASK www.au##81.com
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: 'Visual Sniffer'
- ClassName: 'SmartSniff' WindowName: '(null)'
- ClassName: 'TfrmMain2005' WindowName: '(null)'
- ClassName: 'SHRTMIR' WindowName: '(null)'
- ClassName: 'TFrmMain' WindowName: '(null)'
- ClassName: 'TFrmMain' WindowName: '????????'
