Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'WOW64 Emulator' = '"%ALLUSERSPROFILE%\Application Data\WOW64\csrss.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WOW64 Emulator' = '"%ALLUSERSPROFILE%\Application Data\WOW64\csrss.exe"'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\WOW64 Emulator.url
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Создает и запускает на исполнение:
- %ALLUSERSPROFILE%\Application Data\WOW64\csrss.exe
Запускает на исполнение:
- <SYSTEM32>\netsh.exe advfirewall firewall add rule name="WOW64 Emulator" dir=in action=allowdescription="Windows Component" program="%ALLUSERSPROFILE%\Application Data\WOW64\csrss.exe" enable=yes
- <SYSTEM32>\attrib.exe +s +h +r %ALLUSERSPROFILE%\Application Data\WOW64
- <SYSTEM32>\attrib.exe +s +h +r %ALLUSERSPROFILE%\Application Data\JRE
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Application Data\WOW64\csrss.exe
Сетевая активность:
Подключается к:
- 'co##soft.cc':80
- 'wp#d':80
TCP:
Запросы HTTP GET:
- wp#d/wpad.dat
Запросы HTTP POST:
- co##soft.cc/liphnew/auth.php?mo#########
UDP:
- DNS ASK co##soft.cc
- DNS ASK wp#d
