Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
обнаружения различных программ и игр:
- ClassName: 'gdkWindowToplevel', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\desktop\os468752.bin
- %APPDATA%\chrtmp
Самоудаляется.
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ping 0 -n 2 & del "<Полный путь к файлу>"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe'
- '%WINDIR%\syswow64\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL %HOMEPATH%\Desktop\os468752.bin
- '%WINDIR%\syswow64\cmd.exe' /c ping 0 -n 2 & del "<Полный путь к файлу>"
- '%WINDIR%\syswow64\ping.exe' 0 -n 2
