Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Classes\iexploreFile\shell\open\command] '' = '%WINDIR%\SysWow64\WScript.exe "%1" %*'
Вредоносные функции
Запускает на исполнение
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe' http://www.520921.com/?1
Изменения в файловой системе
Создает следующие файлы
- C:\reg.reg
- %APPDATA%\microsoft\internet explorer\quick launch\launch internet explorer browser.iexplore
Удаляет следующие файлы
- C:\reg.reg
Сетевая активность
UDP
- DNS ASK u.###6688.com
Другое
Ищет следующие окна
- ClassName: 'RegEdit_RegEdit' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c regedit /s c:\reg.reg' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c regedit /s c:\reg2.reg' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c regedit /s c:\reg.reg
- '%WINDIR%\syswow64\regedit.exe' /s c:\reg.reg
- '%WINDIR%\syswow64\cmd.exe' /c regedit /s c:\reg2.reg
