Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\wga\wga-fix.exe'
- 'C:\wga\MGADiag.exe'
- 'C:\wga\findkey.exe'
- 'C:\wga\wga.exe'
- 'C:\wga\Keygen.exe'
Запускает на исполнение:
- '<SYSTEM32>\wscript.exe' "C:\wga\chgxp.vbs" KD7HB-8F2M4-827HQ-YT82B-9WWBY
- '<SYSTEM32>\cmd.exe' /c ""c:\wga\wga.cmd" "
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsr2.tmp
- C:\wga\wga.exe
- %TEMP%\nsh3.tmp\System.dll
- %ALLUSERSPROFILE%\Application Data\Windows Genuine Advantage\data\data.dat
- <DRIVERS>\etc\hosts1.bak
- C:\wga\wga.cmd
- C:\wga\findkey.exe
- C:\wga\chgxp.vbs
- C:\wga\Keygen.exe
- C:\wga\wga-fix.exe
- C:\wga\MGADiag.exe
Удаляет следующие файлы:
- C:\wga\wga-fix.exe
- C:\wga\MGADiag.exe
- C:\wga\wga.exe
- C:\wga\wga.cmd
- C:\wga\chgxp.vbs
- %TEMP%\nsh3.tmp\System.dll
- C:\wga\Keygen.exe
- C:\wga\findkey.exe
Изменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'localhost':443
Другое:
Ищет следующие окна:
- ClassName: 'BUTTON' WindowName: ''
- ClassName: 'MS_WINHELP' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
