Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'AVPMY' = '<SYSTEM32>\AVPMY.exe'
Вредоносные функции
Ищет следующие окна с целью
обхода различных антивирусов:
- ClassName: 'AVP.AlertDialog', WindowName: ''
- ClassName: 'AVP.Product_Notification', WindowName: ''
- ClassName: 'AVP.TrafficMonConnectionTerm', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\syswow64\avpmy.exe
Удаляет следующие файлы
- %WINDIR%\syswow64\avpmy.exe
Самоудаляется.
Другое
Ищет следующие окна
- ClassName: '#32770' WindowName: 'ÈðÐÇ×¢²á±ГВјГ ВїГГЊГЎГЉВѕ'
- ClassName: '#32770' WindowName: 'IE Ö´Ðб£»¤'
- ClassName: '#32770' WindowName: 'ÈðÐÇ¿¨¿¨ÉÏÍø°²È«ÖúÊÖ - IE·À©ǽ'
Создает и запускает на исполнение
- '%WINDIR%\syswow64\avpmy.exe'
- '%WINDIR%\syswow64\cmd.exe' /c del "<Полный путь к файлу>"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del "%WINDIR%\SysWOW64\AVPMY.exe"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c del "<Полный путь к файлу>"
- '%WINDIR%\syswow64\cmd.exe' /c del "%WINDIR%\SysWOW64\AVPMY.exe"
