Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'svcchost' = '<SYSTEM32>\svcchost.exe S'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\a24386.bat
- <SYSTEM32>\svcchost.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\a24386.bat
- <SYSTEM32>\svcchost.exe
Другое:
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c %TEMP%\a24386.bat <Полный путь к файлу>
- '<SYSTEM32>\cmd.exe' /S /D /c" echo f"
- '<SYSTEM32>\xcopy.exe' <Полный путь к файлу> <SYSTEM32>\svcchost.exe /h /y
- '<SYSTEM32>\attrib.exe' +s +h +r +a <SYSTEM32>\svcchost.exe
- '<SYSTEM32>\reg.exe' add HKLM\software\Microsoft\Windows\CurrentVersion\run /v svcchost /t REG_SZ /d "<SYSTEM32>\svcchost.exe S" /f
- '<SYSTEM32>\reg.exe' add HKCR\Unknown\shell\openas\command /v "" /t REG_SZ /d "<SYSTEM32>\svcchost.exe S" /f
- '<SYSTEM32>\reg.exe' add HKCU\software\Microsoft\Windows\CurrentVersion\Policies\System /v "DisableTaskMgr" /t REG_DWORD /d 0000001 /f
