Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Windows-Anmeldeanwendung' = '%APPDATA%\winlogon32.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Windows-Securitykey' = '%APPDATA%\.iexplorer\winlogon32.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Adobe Reader' = '%PROGRAMDATA%\Trend Micro Inc\Adobe Reader\1.0.2.2\AdobeReader.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\startup.exe
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram <Полный путь к файлу> https ENABLE
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram %APPDATA%\winlogon32.exe https ENABLE
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\log.dat
- %APPDATA%\winlogon32.exe
- %PROGRAMDATA%\trend micro inc\adobe reader\1.0.2.2\adobereader.exe
Присваивает атрибут 'скрытый' для следующих файлов
- <Полный путь к файлу>
- %APPDATA%\winlogon32.exe
Сетевая активность
UDP
- DNS ASK bi####ot.no-ip.org
- DNS ASK ni##.amateri.at
Другое
Создает и запускает на исполнение
- '%APPDATA%\winlogon32.exe' <Полный путь к файлу>
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram <Полный путь к файлу> https ENABLE' (со скрытым окном)
- '%APPDATA%\winlogon32.exe' <Полный путь к файлу>' (со скрытым окном)
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram %APPDATA%\winlogon32.exe https ENABLE' (со скрытым окном)
