Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\bit9f50.tmp
- %WINDIR%\tasks\iexpress.job
- <SYSTEM32>\tasks\iexpress
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\cmd.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsn2454.tmp
- %TEMP%\megalomaniac.dll
- %TEMP%\offenbach.exe
- %TEMP%\kaolin
- %TEMP%\folders\res\mscorlib.xml
- %TEMP%\folders\res\jsc.exe
- %TEMP%\crms\download\zipexestub.exe
- %TEMP%\crms\download\vcompui.dll
- %TEMP%\crms\download\sx445.xml
- %APPDATA%\icq-profile\bit9637.tmp
- %TEMP%\crms\download\20.opends60.dll
- %APPDATA%\robots.txt\googlebot\teamqueries.xml
- %APPDATA%\robots.txt\googlebot\vb7tldui.dll
- %APPDATA%\robots.txt\googlebot\imcontact.xml
- %APPDATA%\robots.txt\googlebot\reportobjectbar.xml
- %TEMP%\_reports\if\key\vnd.dwg.xml
- %TEMP%\_reports\if\key\sbsmscordbi.dll
- %TEMP%\_reports\if\key\emulatorstub.exe
- %TEMP%\nsc2464.tmp\nsexec.dll
- %APPDATA%\robots.txt\googlebot\x-shar.xml
- %TEMP%\d5ad1f2e.lnk
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\icq-profile\bit9637.tmp
- %APPDATA%\microsoft\windows\start menu\programs\startup\bit9f50.tmp
Удаляет следующие файлы
- %TEMP%\nsc2464.tmp\nsexec.dll
Перемещает следующие файлы
- %APPDATA%\icq-profile\bit9637.tmp в %APPDATA%\icq-profile\iexpress.exe
Сетевая активность
Подключается к
- '79.##4.225.39':1982
Другое
Создает и запускает на исполнение
- '%TEMP%\offenbach.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe'
