Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\Desktop.lnk
- %HOMEPATH%\Start Menu\Programs\Startup\Chrome.URL
- %HOMEPATH%\Start Menu\Programs\Startup\SearchFilterHost.js
- %HOMEPATH%\Start Menu\Programs\Startup\Lightshot.exe
- %HOMEPATH%\Start Menu\Programs\Startup\vpnmanager.vbs
Вредоносные функции:
Создает и запускает на исполнение:
- '%HOMEPATH%\My Documents\GoogleUpdate.exe'
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\-j3fhw5v.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4.tmp" "%TEMP%\vbc3.tmp"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\l6z78tiz.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2.tmp" "%TEMP%\vbc1.tmp"
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Application Data\Isolated Storage\{32006200-3500-3600-3000-44004C005600}
- %TEMP%\-j3fhw5v.0.vb
- %HOMEPATH%\My Documents\GoogleUpdate.exe
- C:\AUTOEXEC.BAT.exe
- %TEMP%\vbc3.tmp
- %TEMP%\RES4.tmp
- %TEMP%\-j3fhw5v.cmdline
- %TEMP%\-j3fhw5v.out
- C:\ProgramData\Picture\AUTOEXEC.ico
- %TEMP%\l6z78tiz.0.vb
- <Текущая директория>:{32006200-3500-3600-3000-44004C005600}
- C:\Picture\PhotosSetup.exe
- %TEMP%\vbc1.tmp
- %TEMP%\RES2.tmp
- %TEMP%\l6z78tiz.cmdline
- %TEMP%\l6z78tiz.out
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\Picture\PhotosSetup.exe
Удаляет следующие файлы:
- %TEMP%\vbc1.tmp
- %TEMP%\RES2.tmp
- %TEMP%\l6z78tiz.cmdline
Сетевая активность:
Подключается к:
- 'us##.onmypc.net':5222
- 'localhost':5222
UDP:
- DNS ASK us##.onmypc.net
