Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'api-muid' = '%APPDATA%\acle9_27\D3DX9_41.exe'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
следующие пользовательские процессы:
- iexplore.exe
Перехватывает функции
в браузерах
- Процесс iexplore.exe, модуль advapi32.dll
- Процесс iexplore.exe, модуль wininet.dll
- Процесс iexplore.exe, модуль urlmon.dll
- Процесс firefox.exe, модуль nss3.dll
- Процесс iexplore.exe, модуль mshtml.dll
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\acle9_27\d3dx9_41.exe
- %TEMP%\144a\8a25.bat
Изменяет следующие файлы
- %APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\prefs.js
Самоудаляется.
Сетевая активность
UDP
- DNS ASK z1.#edo.com
Другое
Ищет следующие окна
- ClassName: 'ProgMan' WindowName: ''
Создает и запускает на исполнение
- '%APPDATA%\acle9_27\d3dx9_41.exe' "<Полный путь к файлу>"
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\144A\8A25.bat" "%APPDATA%\acle9_27\D3DX9_41.exe" "<Полный путь к файлу>""' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\144A\8A25.bat" "%APPDATA%\acle9_27\D3DX9_41.exe" "<Полный путь к файлу>""
- '%WINDIR%\syswow64\cmd.exe' /C ""%APPDATA%\acle9_27\D3DX9_41.exe" "<Полный путь к файлу>""
- '<SYSTEM32>\svchost.exe'
