Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\svchost.exe
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
блокирует:
- Центр обеспечения безопасности (Security Center)
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\aut29f.tmp
- %WINDIR%\youhua.reg
- %TEMP%\aut6f3.tmp
- %WINDIR%\zm.cmd
- %HOMEPATH%\favorites\am╡τ─╘░╔.urlГГ
- %HOMEPATH%\favorites\am╡τ─╘░╔.url
- %HOMEPATH%\favorites\╔╧═В°╡╝║╜.urlГГ
- %HOMEPATH%\favorites\╔╧═В°╡╝║╜.url
- %HOMEPATH%\favorites\am136╡╝║╜.urlГГ
- %HOMEPATH%\favorites\am136╡╝║╜.url
- %TEMP%\autaea.tmp
- %TEMP%\autc52.tmp
- %WINDIR%\temp\adsl.exe
- %TEMP%\autf4b.tmp
- %TEMP%\adslv.jpg
Удаляет следующие файлы
- %TEMP%\aut29f.tmp
- %WINDIR%\youhua.reg
- %TEMP%\aut6f3.tmp
- %WINDIR%\zm.cmd
- %TEMP%\autaea.tmp
- %TEMP%\autc52.tmp
- %TEMP%\autf4b.tmp
- %TEMP%\adslv.jpg
Другое
Ищет следующие окна
- ClassName: 'RegEdit_RegEdit' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\temp\adsl.exe'
- '<SYSTEM32>\cmd.exe' /c %WINDIR%\zm.cmd' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\regedit.exe' /s youhua.reg
- '<SYSTEM32>\cmd.exe' /c %WINDIR%\zm.cmd
