Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'wextract_cleanup0' = 'rundll32.exe <SYSTEM32>\advpack.dll,DelNodeRunDLL32 "%TEMP%\IXP000.TMP\"'
Вредоносные функции:
Создает и запускает на исполнение:
- %WINDIR%\C5FBC637.exe
- %WINDIR%\9853576D.exe
- %TEMP%\IXP000.TMP\eeee.exe
- %WINDIR%\961EAC2A.exe
Запускает на исполнение:
- <SYSTEM32>\wscript.exe "c:\AF2966FD.vbs"
- <SYSTEM32>\cmd.exe /c afc9fe2f418b00a0.bat
- <SYSTEM32>\taskkill.exe /f /im KSafeTray.exe
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\9853576D.exe
- %TEMP%\IXP000.TMP\afc9fe2f418b00a0.bat
- C:\AF2966FD.vbs
- %WINDIR%\BF.exe
- %TEMP%\IXP000.TMP\upymveygdl
- %WINDIR%\C5FBC637.exe
- C:\1.INI
- %WINDIR%\961EAC2A.exe
- %TEMP%\IXP000.TMP\eeee.exe
- <SYSTEM32>\NOD32.ini
- %WINDIR%\BJ.exe
- %WINDIR%\BF.ini
Удаляет следующие файлы:
- %TEMP%\IXP000.TMP\upymveygdl
- %TEMP%\IXP000.TMP\1.INI
- %TEMP%\IXP000.TMP\eeee.exe
Сетевая активность:
Подключается к:
- '11#.#5.164.116':8080
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: '??????????????'
- ClassName: '' WindowName: ''
