Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\Shortcut to startup_local.lnk
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\cscript.exe' "%TEMP%\~inst00.js"
- '%TEMP%\gsserv.exe' /GKL:start:gsserver
Внедряет код в
следующие пользовательские процессы:
- gsserv.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Cache~\Shortcut to startup_local.lnk
- %TEMP%\~inst00.js
- %APPDATA%\Microsoft\gkl\log\21.11.2017@07.35.58\screen@07-35-58@LRCSOCJJJEAIEUDDNVKU.png
- %APPDATA%\Microsoft\gkl\log\21.11.2017@07.35.58\log.htm
- %APPDATA%\Microsoft\gkl\bin\GUpdate.exe
- %TEMP%\Js
- %TEMP%\nsn2.tmp
- %TEMP%\nsf5.tmp
- %TEMP%\gsserv.exe
Удаляет следующие файлы:
- %TEMP%\~inst00.js
