Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'OeKseZujMM' = '"%TEMP%\tempfile.exe"'
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- process32.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
обнаружения различных программ и игр:
- ClassName: 'gdkWindowToplevel', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\process32.exe
- %TEMP%\tempfile.exe
- %APPDATA%\chrtmp
Другое
Создает и запускает на исполнение
- '%TEMP%\process32.exe'
