Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\] 'MzZf5R2G' = '<Полный путь к файлу>'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\cacls.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\8000
Присваивает атрибут 'скрытый' для следующих файлов
- <Полный путь к файлу>
Сетевая активность
Подключается к
- 'us###.qzone.qq.com':80
TCP
Запросы HTTP GET
- http://us###.qzone.qq.com/fcg-bin/cgi_get_portrait.fcg?ui#############
UDP
- DNS ASK us###.qzone.qq.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cacls.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cacls.exe'
