Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,%WINDIR%\<Имя файла>.exe'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\odrlr.exe
- <Имя диска съемного носителя>:\autorun.inf
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
Запускает на исполнение
- '%ProgramFiles%\internet explorer\iexplore.exe' http://ok.onniro.cn/power.asp?myid=4059612741849
Изменения в файловой системе
Создает следующие файлы
- D:\odrlr.exe
- D:\autorun.inf
- %WINDIR%\concmd.dll
- %WINDIR%\<Имя файла>.exe
Присваивает атрибут 'скрытый' для следующих файлов
- D:\odrlr.exe
- <Имя диска съемного носителя>:\odrlr.exe
- %WINDIR%\<Имя файла>.exe
Сетевая активность
UDP
- DNS ASK ok.##niro.cn
- DNS ASK ch#.#nniro.cn
Другое
Ищет следующие окна
- ClassName: 'Static' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles%\internet explorer\iexplore.exe' http://ok.onniro.cn/power.asp?myid=4059612741849' (со скрытым окном)
