Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'lclock.exe' = '%TEMP%\1.tmp\lclock.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\2.tmp\1.exe /Stext pass.txt
- %TEMP%\2.tmp\Project1.exe
- %TEMP%\1.tmp\lclock.exe
- %TEMP%\1.tmp\Troy.exe
Запускает на исполнение:
- <SYSTEM32>\cmd.exe /c ""%TEMP%\2.tmp\фыв.bat" "
- <SYSTEM32>\taskkill.exe /f /im chrome.exe
- <SYSTEM32>\taskkill.exe /f /im 4game_zapuskatr.exe
- <SYSTEM32>\cmd.exe /c ""%TEMP%\1.tmp\batnik - копия.cmd" "
- <SYSTEM32>\reg.exe DELETE HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot /f
Завершает или пытается завершить
следующие пользовательские процессы:
- chrome.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\2.tmp\Project1.exe
- %TEMP%\2.tmp\фыв.bat
- %TEMP%\2.tmp\pass.txt
- %TEMP%\2.tmp\1.exe
- %TEMP%\1.tmp\avp.exe
- %TEMP%\1.tmp\lclock.exe
- %TEMP%\1.tmp\batnik - копия.cmd
- %TEMP%\1.tmp\Troy.exe
- %TEMP%\1.tmp\send.exe
Удаляет следующие файлы:
- %TEMP%\2.tmp\фыв.bat
- %TEMP%\1.tmp\batnik - копия.cmd
Другое:
Ищет следующие окна:
- ClassName: 'TApplication' WindowName: ''
- ClassName: 'TAppBuilder' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
