Техническая информация
Для обеспечения автозапуска и распространения:
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\cmd.exe файлом <SYSTEM32>\cmd.exe.new
- <SYSTEM32>\dllcache\rundll32.exe файлом <SYSTEM32>\dllcache\rundll32.exe.new
- <SYSTEM32>\rundll32.exe файлом <SYSTEM32>\rundll32.exe.new
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<Полный путь к вирусу>' = '<Полный путь к вирусу>:*:Enabled:ipsec'
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Запускает на исполнение:
- <SYSTEM32>\telnet.exe
- <SYSTEM32>\notepad.exe
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\notepad.exe
большое количество пользовательских процессов.
