Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'csrss.exe' = '"%APPDATA%\Microsoft\Windows\csrss.exe" -start'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\notepad.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\dae71a3a.imposter
- %APPDATA%\microsoft\windows\csrss.exe
Удаляет следующие файлы
- %TEMP%\dae71a3a.imposter
Самоудаляется.
Сетевая активность
Подключается к
- 'ge###tool.com':80
- 'ge###tool.com':443
- 'microsoft.com':80
TCP
Запросы HTTP GET
- http://ge###tool.com/
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
Другие
- 'ge###tool.com':443
UDP
- DNS ASK ge###tool.com
- DNS ASK ge###tatool.com
- DNS ASK microsoft.com
Другое
Создает и запускает на исполнение
- '%APPDATA%\microsoft\windows\csrss.exe' -start
Запускает на исполнение
- '%WINDIR%\syswow64\notepad.exe'
