Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Startup Name' = '<Полный путь к файлу>'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Startup Name' = '%APPDATA%\<Имя файла>.exe'
Вредоносные функции:
Внедряет код в
следующие системные процессы:
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\vbc.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\aut1.tmp
- %TEMP%\35322.dmp
- %TEMP%\aut18.tmp
- %TEMP%\342A7.dmp
- %TEMP%\33DB6.dmp
- %TEMP%\aut17.tmp
- %TEMP%\aut19.tmp
- %TEMP%\aut16.tmp
- %TEMP%\32943.dmp
- %TEMP%\31F8F.dmp
- %TEMP%\aut14.tmp
- %TEMP%\31473.dmp
- %TEMP%\aut13.tmp
- %TEMP%\30792.dmp
- %TEMP%\aut15.tmp
- %TEMP%\2C847.dmp
- %TEMP%\aut1A.tmp
- %TEMP%\aut21.tmp
- %TEMP%\39FAC.dmp
- %TEMP%\3A4DC.dmp
- %TEMP%\aut20.tmp
- %TEMP%\395A9.dmp
- %TEMP%\aut1F.tmp
- %TEMP%\aut12.tmp
- %TEMP%\352B5.dmp
- %TEMP%\36C77.dmp
- %TEMP%\37E0B.dmp
- %TEMP%\aut1E.tmp
- %TEMP%\aut1D.tmp
- %TEMP%\36831.dmp
- %TEMP%\aut1C.tmp
- %TEMP%\37744.dmp
- %TEMP%\aut1B.tmp
- %TEMP%\2FFF1.dmp
- %TEMP%\aut11.tmp
- %TEMP%\2F245.dmp
- %TEMP%\aut5.tmp
- %TEMP%\1.resource
- %APPDATA%\<Имя файла>.exe
- %TEMP%\aut2.tmp
- %TEMP%\aut3.tmp
- %TEMP%\dw.log
- %TEMP%\aut22.tmp
- %TEMP%\aut4.tmp
- %TEMP%\217C4.dmp
- %TEMP%\1E857.dmp
- %TEMP%\20620.dmp
- %TEMP%\1E605.dmp
- %TEMP%\aut7.tmp
- %TEMP%\21003.dmp
- %TEMP%\aut6.tmp
- %TEMP%\38250.dmp
- %TEMP%\aut9.tmp
- %TEMP%\autB.tmp
- %TEMP%\24358.dmp
- %TEMP%\aut10.tmp
- %TEMP%\2E6DB.dmp
- %TEMP%\autF.tmp
- %TEMP%\2DE02.dmp
- %TEMP%\autE.tmp
- %TEMP%\autA.tmp
- %TEMP%\2D16F.dmp
- %TEMP%\aut8.tmp
- %TEMP%\2B183.dmp
- %TEMP%\autC.tmp
- %TEMP%\29B8A.dmp
- %TEMP%\2889E.dmp
- %TEMP%\26BFE.dmp
- %TEMP%\autD.tmp
- %TEMP%\aut23.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- <Полный путь к файлу>
- %APPDATA%\<Имя файла>.exe
Удаляет следующие файлы:
- %TEMP%\aut1.tmp
- %TEMP%\aut14.tmp
- %TEMP%\aut15.tmp
- %TEMP%\aut16.tmp
- %TEMP%\aut17.tmp
- %TEMP%\aut18.tmp
- %TEMP%\aut19.tmp
- %TEMP%\aut1B.tmp
- %TEMP%\aut22.tmp
- %TEMP%\aut1C.tmp
- %TEMP%\aut1D.tmp
- %TEMP%\aut1E.tmp
- %TEMP%\aut1F.tmp
- %TEMP%\aut20.tmp
- %TEMP%\aut21.tmp
- %TEMP%\aut13.tmp
- %TEMP%\aut1A.tmp
- %TEMP%\aut12.tmp
- %TEMP%\aut8.tmp
- %TEMP%\aut2.tmp
- %TEMP%\aut3.tmp
- %TEMP%\aut4.tmp
- %TEMP%\aut5.tmp
- %TEMP%\aut6.tmp
- %TEMP%\aut7.tmp
- %TEMP%\aut9.tmp
- %TEMP%\aut10.tmp
- %TEMP%\autA.tmp
- %TEMP%\autB.tmp
- %TEMP%\autC.tmp
- %TEMP%\autD.tmp
- %TEMP%\autE.tmp
- %TEMP%\autF.tmp
- %TEMP%\aut11.tmp
- %TEMP%\aut23.tmp
Другое:
Создает и запускает на исполнение:
- '%APPDATA%\<Имя файла>.exe'
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\vbc.exe'
- '%CommonProgramFiles%\Microsoft Shared\DW\DW20.EXE' -x -s 368
- '%CommonProgramFiles%\Microsoft Shared\DW\DW20.EXE' -x -s 372
- '%CommonProgramFiles%\Microsoft Shared\DW\DW20.EXE' -x -s 376
