Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'vliElpvIjh' = '"%TEMP%\tempfile.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'winupdater' = '<SYSTEM32>\Windupdt\winupdate.exe'
- [<HKLM>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'UserInit' = '<SYSTEM32>\userinit.exe,<SYSTEM32>\Windupdt\winupdate.exe'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\notepad.exe
следующие пользовательские процессы:
- process32.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\process32.exe
- %TEMP%\tempfile.exe
- %TEMP%\ffff.exe
- %WINDIR%\syswow64\windupdt\winupdate.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %WINDIR%\syswow64\windupdt\winupdate.exe
Удаляет следующие файлы
- %TEMP%\ffff.exe
Сетевая активность
Подключается к
- 'gn######iec0359.zapto.org':50079
UDP
- DNS ASK gn######iec0359.zapto.org
Другое
Создает и запускает на исполнение
- '%TEMP%\process32.exe'
- '%TEMP%\ffff.exe'
- '%TEMP%\ffff.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\notepad.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\notepad.exe'
- '%WINDIR%\syswow64\explorer.exe'
