Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'Explorer.exe %WINDIR%\Config\csrss.exe'
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /T /IM KIS
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\655815.exe
- %WINDIR%\syswow64\mswinsck.ocx
- %TEMP%\mupdate.bat
Самоудаляется.
Сетевая активность
Подключается к
- 'i8#.#o-ip.info':3070
UDP
- DNS ASK i8#.#o-ip.info
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\655815.exe'
- '%TEMP%\655815.exe' ' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c %TEMP%\\mUpdate.bat' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c %TEMP%\\mUpdate.bat
