Техническая информация
Для обеспечения автозапуска и распространения:
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\midimap.dll
Заражает следующие исполняемые файлы:
- <SYSTEM32>\wshtcpip.dll
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c %TEMP%\ahnmove.bat
- '<SYSTEM32>\net1.exe' start SafeTransactionSVC
- '<SYSTEM32>\net.exe' start SafeTransactionSVC
- '%TEMP%\2167c.tmp'
- '%TEMP%\26b24.tmp'
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\2ym2.dll
- %TEMP%\fe8w8ye8.dll
- %TEMP%\yhsys\doit.rar
- <SYSTEM32>\fe8w8ye8.dll
- %TEMP%\ahnmove.bat
- <SYSTEM32>\uyiYywA8.dll
- %TEMP%\uyiYywA8.dll
- %TEMP%\uws.dll
- %TEMP%\26b24.tmp
- %TEMP%\2167c.tmp
- %TEMP%\A1.zip
- %TEMP%\D1.zip
- %TEMP%\C1.zip
- %TEMP%\B1.zip
Удаляет следующие файлы:
- %TEMP%\26b24.tmp
- <SYSTEM32>\midimap.dll
- <SYSTEM32>\wshtcpip.dll
Перемещает следующие файлы:
- <SYSTEM32>\wshtcpip.dll в %TEMP%\JufHw
Подменяет следующие исполняемые файлы:
- <SYSTEM32>\wshtcpip.dll
- <Полный путь к файлу>
Изменяет файл HOSTS.
Самоудаляется.
Сетевая активность:
Подключается к:
- '10#.#17.40.130':801
