Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe %WINDIR%\Media\csrss.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%WINDIR%\Media\csrss.exe'
Запускает на исполнение:
- '<SYSTEM32>\wermgr.exe' -queuereporting
- '<SYSTEM32>\taskhost.exe' $(Arg0)
Изменения в файловой системе:
Создает следующие файлы:
- C:\ProgramData\Microsoft\RAC\Temp\sql8516.tmp
- C:\ProgramData\Microsoft\RAC\Temp\sqlC5DD.tmp
- C:\ProgramData\Microsoft\RAC\Temp\sqlC5EE.tmp
- C:\ProgramData\Microsoft\RAC\Temp\sql8536.tmp
- %WINDIR%\Media\csrss.exe
- %WINDIR%\Media\MSWINSCK.OCX
Удаляет следующие файлы:
- C:\ProgramData\Microsoft\RAC\Temp\sql8516.tmp
- C:\ProgramData\Microsoft\RAC\Temp\sql8536.tmp
Сетевая активность:
Подключается к:
- 'ga##.sytes.net':13334
UDP:
- DNS ASK dn#.##ftncsi.com
- DNS ASK ga##.sytes.net
