Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MSE' = '%TEMP%\taskmgr.exe'
Вредоносные функции
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\FTP Commander]
- [<HKCU>\Software\IMVU\username]
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ym-3p6ow.0.cs
- %TEMP%\ym-3p6ow.cmdline
- %TEMP%\ym-3p6ow.out
- %TEMP%\csc3049.tmp
- %TEMP%\res304a.tmp
- %TEMP%\ldxqs.exe
- %TEMP%\taskmgr.exe
- %TEMP%\[inject-into].exe
Удаляет следующие файлы
- %TEMP%\res304a.tmp
- %TEMP%\csc3049.tmp
- %TEMP%\ym-3p6ow.0.cs
- %TEMP%\ym-3p6ow.out
- %TEMP%\ym-3p6ow.cmdline
Самоперемещается
- из <Полный путь к файлу> в %TEMP%\tmp6514.exe
Сетевая активность
TCP
- 'sm##.gmail.com':587
UDP
- DNS ASK sm##.gmail.com
Другое
Создает и запускает на исполнение
- '%TEMP%\ldxqs.exe'
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES304A.tmp" "%TEMP%\CSC3049.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ym-3p6ow.cmdline"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ym-3p6ow.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES304A.tmp" "%TEMP%\CSC3049.tmp"
