Техническая информация
Вредоносные функции:
Изменяет следующие настройки проводника Windows (Windows Explorer):
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer] 'NoSaveSettings' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\{781BBBB2-204A-4E9D-89BC-FC2BB50AC5C5}Machine\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoSaveSettings' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\{781BBBB2-204A-4E9D-89BC-FC2BB50AC5C5}User\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoSaveSettings' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoSaveSettings' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\{07FFDD37-84C2-4E32-A03C-D81BCCDA11E6}User\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoSaveSettings' = '00000000'
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\{07FFDD37-84C2-4E32-A03C-D81BCCDA11E6}User\Software\Microsoft\Windows\CurrentVersion\Policies\Associations] 'LowRiskFileTypes' = '*.bat'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\{75916966-C205-48DC-95BD-5EB4652988E7}User\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments] 'SaveZoneInformation' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\{07FFDD37-84C2-4E32-A03C-D81BCCDA11E6}User\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments] 'SaveZoneInformation' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\{781BBBB2-204A-4E9D-89BC-FC2BB50AC5C5}User\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments] 'SaveZoneInformation' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\{781BBBB2-204A-4E9D-89BC-FC2BB50AC5C5}User\Software\Microsoft\Windows\CurrentVersion\Policies\Associations] 'LowRiskFileTypes' = '*.bat'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\{FC921E38-49FB-4CAA-949C-A20DD91B7257}User\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments] 'SaveZoneInformation' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\{FC921E38-49FB-4CAA-949C-A20DD91B7257}User\Software\Microsoft\Windows\CurrentVersion\Policies\Associations] 'LowRiskFileTypes' = '*.bat'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\{B9E9B309-21DF-43B7-89B7-3FD9C307592A}User\Software\Microsoft\Windows\CurrentVersion\Policies\Associations] 'LowRiskFileTypes' = '*.bat'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\{75916966-C205-48DC-95BD-5EB4652988E7}User\Software\Microsoft\Windows\CurrentVersion\Policies\Associations] 'LowRiskFileTypes' = '*.bat'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\{B9E9B309-21DF-43B7-89B7-3FD9C307592A}User\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments] 'SaveZoneInformation' = '00000001'
Принудительно разрешает автозапуск со съемных носителей.
Изменения в файловой системе:
Создает следующие файлы:
- <Текущая директория>\<Имя вируса>.plc
- %HOMEPATH%\ntuser.pol
- <Текущая директория>\Config\<Имя вируса>_FW.csi
- <Текущая директория>\Config\<Имя вируса>.csi
Удаляет следующие файлы:
- <Текущая директория>\<Имя вируса>.plc
Другое:
Ищет следующие окна:
- ClassName: 'NDDEAgnt' WindowName: 'NetDDE Agent'
