Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'shell' = 'explorer.exe <SYSTEM32>\config\Systemlog.exe'
Вредоносные функции:
Запускает на исполнение:
- <SYSTEM32>\notepad.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Microsoft\Credentials\Credentials.exe
- %APPDATA%\Identities\{4FF38130-294D-42C8-BD62-3A52854427FF}\{4FF38130-294D-42C8-BD62-3A52854427FF}.exe
- %APPDATA%\Microsoft\CryptnetUrlCache\CryptnetUrlCache.exe
- %APPDATA%\Microsoft\Internet Explorer\Internet Explorer.exe
- %APPDATA%\Microsoft\HTML Help\HTML Help.exe
- %HOMEPATH%\Templates\Templates.exe
- %HOMEPATH%\Start Menu\Start Menu.exe
- %APPDATA%\Identities\Identities.exe
- %APPDATA%\Mozilla\Mozilla.exe
- %APPDATA%\Microsoft\Microsoft.exe
- %APPDATA%\Microsoft\Media Player\Media Player.exe
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\MetaData.exe
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\Content.exe
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Quick Launch.exe
- %APPDATA%\Microsoft\SystemCertificates\My\My.exe
- %APPDATA%\Microsoft\Protect\S-1-5-21-1275210071-117609710-1801674531-500\S-1-5-21-1275210071-117609710-1801674531-500.exe
- %APPDATA%\Microsoft\Protect\Protect.exe
- %APPDATA%\Microsoft\MMC\MMC.exe
- %APPDATA%\Microsoft\SystemCertificates\SystemCertificates.exe
- %APPDATA%\Microsoft\Credentials\S-1-5-21-1275210071-117609710-1801674531-500\S-1-5-21-1275210071-117609710-1801674531-500.exe
- %APPDATA%\Microsoft\Windows\Windows.exe
- %HOMEPATH%\SendTo\SendTo.exe
- %WINDIR%\WINDOWS.exe
- C:\RECYCLER\RECYCLER.exe
- %HOMEPATH%\%USERNAME%.exe
- C:\Documents and Settings\Default User\Default User.exe
- %ALLUSERSPROFILE%\All Users.exe
- <Текущая директория>\af32d3b0.exe
- <SYSTEM32>\config\Systemlog.exe
- C:\Documents and Settings\Documents and Settings.exe
- %PROGRAM_FILES%\Program Files.exe
- <Служебный элемент>
- C:\Documents and Settings\LocalService\LocalService.exe
- %HOMEPATH%\My Documents\My Documents.exe
- %HOMEPATH%\Local Settings\Local Settings.exe
- %HOMEPATH%\NetHood\NetHood.exe
- %HOMEPATH%\Recent\Recent.exe
- %HOMEPATH%\PrintHood\PrintHood.exe
- %APPDATA%\Application Data.exe
- C:\Documents and Settings\NetworkService\NetworkService.exe
- %HOMEPATH%\Cookies\Cookies.exe
- %HOMEPATH%\Favorites\Favorites.exe
- %HOMEPATH%\Desktop\Desktop.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <Полный путь к вирусу>
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: 'windows task manager'
- ClassName: 'Shell_TrayWnd' WindowName: ''
