Win32.HLLW.Facebook.1672

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ClipSrv' = '<LS_APPDATA>\Microsoft\clipsrv.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'EseNtUtl' = '%WINDIR%\esentutl.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'WinLogon' = '<LS_APPDATA>\Microsoft\winlogon.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'run' = '%WINDIR%\logman.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Microsoft RSVP' = '<LS_APPDATA>\Microsoft\Windows\rsvp.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'Microsoft RSVP' = '%APPDATA%\Microsoft\rsvp.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'Sessmgr' = '%APPDATA%\sessmgr.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '<DRIVERS>\mstsc.exe'

Вредоносные функции:

Создает и запускает на исполнение:

Изменения в файловой системе:

Создает следующие файлы:

Удаляет следующие файлы:

Перемещает следующие файлы:

<LS_APPDATA>\Microsoft\Windows\RCXB.tmp в <LS_APPDATA>\Microsoft\Windows\rsvp.exe
<LS_APPDATA>\Microsoft\RCXA.tmp в <LS_APPDATA>\Microsoft\clipsrv.exe
%WINDIR%\RCX9.tmp в %WINDIR%\spoolsv.exe
<DRIVERS>\RCXC.tmp в <DRIVERS>\mstsc.exe
<LS_APPDATA>\Microsoft\RCXF.tmp в <LS_APPDATA>\Microsoft\winlogon.exe
%WINDIR%\RCXE.tmp в %WINDIR%\esentutl.exe
%WINDIR%\RCXD.tmp в %WINDIR%\logman.exe
%WINDIR%\RCX8.tmp в %WINDIR%\esentutl.exe
%APPDATA%\Microsoft\RCX3.tmp в %APPDATA%\Microsoft\rsvp.exe
%APPDATA%\Microsoft\RCX2.tmp в %APPDATA%\Microsoft\sessmgr.exe
<LS_APPDATA>\Microsoft\Windows\RCX1.tmp в <LS_APPDATA>\Microsoft\Windows\logman.exe
<LS_APPDATA>\Microsoft\Windows\RCX4.tmp в <LS_APPDATA>\Microsoft\Windows\rsvp.exe
%APPDATA%\RCX7.tmp в %APPDATA%\sessmgr.exe
<LS_APPDATA>\RCX6.tmp в <LS_APPDATA>\sessmgr.exe
<DRIVERS>\RCX5.tmp в <DRIVERS>\mstsc.exe

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

UDP:

Другое:

Ищет следующие окна: