Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\iwliivlrzn.lnk
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [<HKCU>\Software\Google\Google Talk\Accounts]
- [<HKCU>\Software\Microsoft\Internet Account Manager\Accounts]
- [<HKCU>\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
- [<HKCU>\Identities\{91255D00-95D9-49F5-8E84-7C027F5283B7}\Software\Microsoft\Internet Account Manager\Accounts]
- [<HKCU>\Identities\{91255D00-95D9-49F5-8E84-7C027F5283B7}\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
- [<HKCU>\Software\Microsoft\MSNMessenger]
- [<HKCU>\Software\Yahoo\Pager]
- [<HKCU>\Software\Microsoft\IdentityCRL]
- [<HKCU>\Software\Microsoft\Windows Live Mail]
Ищет следующие окна с целью
обнаружения различных программ и игр:
- ClassName: '', WindowName: 'Yahoo! Messenger'
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\qhjklnnl94gd\8783.xml
- %TEMP%\gv1dmoyazg.ini
- %TEMP%\zqvyxwce7b.ini
- %TEMP%\nycz83ln74.ini
- %TEMP%\j1kuc8imga.ini
- %TEMP%\m33evaezka.ini
Удаляет следующие файлы
- %TEMP%\gv1dmoyazg.ini
- %TEMP%\zqvyxwce7b.ini
- %TEMP%\nycz83ln74.ini
- %TEMP%\j1kuc8imga.ini
- %TEMP%\m33evaezka.ini
Перемещает следующие файлы
- %APPDATA%\qhjklnnl94gd\8783.xml в %APPDATA%\qhjklnnl94gd\e8hii9f.exe
Сетевая активность
UDP
- DNS ASK vi#######tmovies.allalla.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe'
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /scomma "%TEMP%\gv1dmOYaZG.ini"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /scomma "%TEMP%\pmADdAuWLN.ini"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /scomma "%TEMP%\ZqVYxwcE7B.ini"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /scomma "%TEMP%\PnmQtecuYY.ini"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /scomma "%TEMP%\nYCz83Ln74.ini"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /scomma "%TEMP%\h896MgANuA.ini"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /scomma "%TEMP%\J1kUC8IMGA.ini"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /scomma "%TEMP%\ZL9JEdgk5y.ini"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /scomma "%TEMP%\M33EvAezKA.ini"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /scomma "%TEMP%\jSz7m6yja2.ini"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /scomma "%TEMP%\2eL8t76eIP.ini"
