Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'mydoc' = '"%PROGRAM_FILES%\Messenger\msseces.exe"'
Вредоносные функции:
Создает и запускает на исполнение:
- %PROGRAM_FILES%\Messenger\msseces.exe explorer.exe coshelp.dll
- C:\Shhings\meb2420_exe.exe
Запускает на исполнение:
- <SYSTEM32>\wscript.exe "C:\Shhings\333.vbs"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsv3.tmp\System.dll
- %TEMP%\nsp2.tmp
- %PROGRAM_FILES%\Messenger\34.exe
- %PROGRAM_FILES%\Messenger\37.dll
- C:\Shhings\meb2420_exe.exe
- C:\Shhings\Setup_p08.exe
- C:\Shhings\a.com放人电放器.ico
- C:\Shhings\333.vbs
Удаляет следующие файлы:
- %TEMP%\nsv3.tmp\System.dll
Перемещает следующие файлы:
- %PROGRAM_FILES%\Messenger\34.exe в %PROGRAM_FILES%\Messenger\msseces.exe
- %PROGRAM_FILES%\Messenger\37.dll в %PROGRAM_FILES%\Messenger\coshelp.dll
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
