Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '<Имя вируса>' = '%WINDIR%\Pro_Menya.exe'
Вредоносные функции:
Запускает на исполнение:
- <SYSTEM32>\attrib.exe +r +h v:\systum
- <SYSTEM32>\attrib.exe +r +h c:\systum
- <SYSTEM32>\attrib.exe +r +h b:\systum
- <SYSTEM32>\attrib.exe +r +h m:\systum
- <SYSTEM32>\attrib.exe +r +h n:\systum
- <SYSTEM32>\attrib.exe +r +h x:\systum
- <SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v <Имя вируса> /t REG_SZ /d "%WINDIR%\Pro_Menya.exe" /f
- <SYSTEM32>\xcopy.exe /R /S /C /I /Q /H /Y Pro_Menya.exe %WINDIR%\
- <SYSTEM32>\ftp.exe -i -n -v -a -s:"<LS_APPDATA>\rar.txt"
- <SYSTEM32>\ftp.exe -i -n -v -a -s:"<LS_APPDATA>\1.txt"
- <SYSTEM32>\attrib.exe +r +h z:\systum
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>\1.txt
- <LS_APPDATA>\1.bmp
- %TEMP%\~1.bat
- <LS_APPDATA>\rar.txt
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\~1.bat
Сетевая активность:
Подключается к:
- 'localhost':1046
- 'localhost':1044
- 'localhost':1050
- 'localhost':1048
- 'localhost':1042
- 'ce#####.ftp.narod.ru':21
- 'localhost':1035
- 'localhost':1040
- 'localhost':1038
UDP:
- DNS ASK ce#####.ftp.narod.ru
