Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Console Window Host' = '%APPDATA%\Microsoft\PowerPoint\temp\conhost.exe'
Вредоносные функции
Создает и запускает на исполнение (эксплоит)
- '%APPDATA%\msword.exe'
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\doubleenc
- %APPDATA%\doubledec
- %APPDATA%\msword.exe
- %APPDATA%\microsoft\powerpoint\temp\3
- %APPDATA%\microsoft\powerpoint\temp\4
- %APPDATA%\microsoft\powerpoint\temp\window console host.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\microsoft\powerpoint\temp\conhost.exe
Удаляет следующие файлы
- %APPDATA%\microsoft\powerpoint\temp\4
Перемещает следующие файлы
- %APPDATA%\microsoft\powerpoint\temp\3 в %APPDATA%\microsoft\powerpoint\temp\conhost.exe
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%APPDATA%\microsoft\powerpoint\temp\window console host.exe'
- '%APPDATA%\microsoft\powerpoint\temp\conhost.exe'
- '%APPDATA%\microsoft\powerpoint\temp\conhost.exe' ' (со скрытым окном)
