Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cryptsrv] 'Logon' = 'NTEventLogon'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cryptsrv] 'Startup' = 'NTEventStartup'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\winntbbu] 'Logon' = 'OrdinalC'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cryptsrv] 'DllName' = 'xEngine.dll'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\winntbbu] 'DllName' = 'suriv.dll'
Вредоносные функции:
Запускает на исполнение:
- <SYSTEM32>\rundll32.exe "<SYSTEM32>\xEngine.dll",Install
- <SYSTEM32>\rundll32.exe shimgvw.dll,ImageView_Fullscreen <Текущая директория>\<Имя вируса>
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\xEngine.dll
- <SYSTEM32>\xEngine.fsb
