Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<Текущая директория>\РВ°жЧФ¶ЇЧј±ё№Т»ъЖчV3.4.exe'
- '%TEMP%\d.exe' /S
Запускает на исполнение:
- '<SYSTEM32>\conhost.exe'
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\338mu\internet.fne
- %TEMP%\338mu\NSService.fne
- %TEMP%\338mu\eAPI.fne
- %TEMP%\338mu\iext.fnr
- %TEMP%\338mu\HtmlView.fne
- %WINDIR%\Temp\MPTelemetrySubmit\client_manifest.txt
- %WINDIR%\Temp\MPTelemetrySubmit\watson_manifest.txt
- %TEMP%\338mu\krnln.fne
- %TEMP%\338mu\PBShell.fne
- %TEMP%\338mu\dp1.fne
- %PROGRAM_FILES%\baidu\bar\img\logo.bmp
- %PROGRAM_FILES%\baidu\bar\baidubar.dat
- %PROGRAM_FILES%\baidu\bar\img\imglist.bmp
- %TEMP%\d.exe
- %TEMP%\nsk9BB3.tmp
- <Текущая директория>\РВ°жЧФ¶ЇЧј±ё№Т»ъЖчV3.4.exe
- %TEMP%\338mu\krnln.fnr
- %PROGRAM_FILES%\baidu\bar\baidubartmp
- %PROGRAM_FILES%\baidu\bar\BaiduBar.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- <Текущая директория>\РВ°жЧФ¶ЇЧј±ё№Т»ъЖчV3.4.exe
Удаляет следующие файлы:
- %PROGRAM_FILES%\baidu\bar\baidubartmp
Сетевая активность:
Подключается к:
- 'localhost':61008
UDP:
- DNS ASK wa####.microsoft.com
- '22#.0.0.252':5355
