Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\NWCWorkstation] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\Nwsapagent] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\WmdmPmSp] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\Ias] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\Iprip] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\Irmon] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\148234_res.tmp
- %TEMP%\146078_res.exe
- %TEMP%\150484_res.tmp
- %TEMP%\148921_res.exe
- %TEMP%\141234_res.tmp
- %TEMP%\139406_res.exe
- %TEMP%\144812_res.tmp
- %TEMP%\141906_res.exe
- %TEMP%\167000_res.tmp
- %TEMP%\163640_res.exe
- %TEMP%\172656_res.tmp
- %TEMP%\169156_res.exe
- %TEMP%\152859_res.tmp
- %TEMP%\151125_res.exe
- %TEMP%\161781_res.tmp
- %TEMP%\153703_res.exe
- %TEMP%\138718_res.tmp
- %TEMP%\118015_res.exe
- %TEMP%\117203_res.tmp
- %TEMP%\121906_res.exe
- %TEMP%\120625_res.tmp
- %TEMP%\113796_res.tmp
- %TEMP%\112765_res.exe
- %TEMP%\114796_res.exe
- %WINDIR%\uxtheme.dll
- %TEMP%\134140_res.exe
- %TEMP%\133375_res.tmp
- %TEMP%\136718_res.exe
- %TEMP%\136015_res.tmp
- %TEMP%\129062_res.exe
- %TEMP%\128234_res.tmp
- %TEMP%\131562_res.exe
- %TEMP%\130781_res.tmp
Удаляет следующие файлы:
- %TEMP%\123.text
Самоудаляется.
