Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\clr_optimization_v4.0.30319_32] 'Start' = '00000002'
Изменяет следующие исполняемые системные файлы:
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe
Заражает следующие исполняемые файлы:
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\CZVHTM~1
- %CommonProgramFiles%\System\ado\msado27.tlb.new
- %CommonProgramFiles%\System\ado\msado26.tlb.new
- %CommonProgramFiles%\System\ado\msado25.tlb.new
- %CommonProgramFiles%\System\ado\msado21.tlb.new
- %CommonProgramFiles%\System\ado\msado20.tlb.new
- %CommonProgramFiles%\SpeechEngines\Microsoft\TTS\1033\sam.spd.new
- %CommonProgramFiles%\SpeechEngines\Microsoft\TTS\1033\sam.sdf.new
- %CommonProgramFiles%\SpeechEngines\Microsoft\Lexicon\1033\r1033tts.lxa.new
- %CommonProgramFiles%\SpeechEngines\Microsoft\Lexicon\1033\ltts1033.lxa.new
- %CommonProgramFiles%\Microsoft Shared\Triedit\dhtmled.ocx.new
- %CommonProgramFiles%\Microsoft Shared\Speech\sapi.cpl.new
- %CommonProgramFiles%\Microsoft Shared\MSInfo\ieinfo5.ocx.new
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe:0
- %TEMP%\vYP1.tmp
- %APPDATA%\CZVHTM~1:bin
- <SYSTEM32>\dllcache\ieinfo5.ocx.new
- <SYSTEM32>\dllcache\sapi.cpl.new
Удаляет следующие файлы:
- <Полный путь к файлу>
- %APPDATA%\CZVHTM~1
Подменяет следующие файлы:
- <SYSTEM32>\dllcache\ieinfo5.ocx.new
- <SYSTEM32>\dllcache\sapi.cpl.new
Другое:
Создает и запускает на исполнение:
- '%APPDATA%\CZVHTM~1:bin' <Полный путь к файлу>
