Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'ddate' = '%TEMP%\1_18\jhlqnx.exe %TEMP%\1_18\gqigrdoj.bmp'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\1_18\bccknqaf.kmp
- %TEMP%\1_18\wgmwu.xl
- %TEMP%\1_18\rjwvrbf.icm
- %TEMP%\1_18\tbtajo.txt
- %TEMP%\1_18\ndhl.icm
- %TEMP%\1_18\nniedq.xml
- %TEMP%\1_18\dbgcauo.exe
- %TEMP%\1_18\srkxelhe.ppt
- %TEMP%\1_18\dsgebtsb.bin
- %TEMP%\1_18\jrgqdwk.ppt
- %TEMP%\1_18\ldomrac.dat
- %TEMP%\1_18\nrtn.jpg
- %TEMP%\1_18\kjohd.bin
- %TEMP%\1_18\difup.docx
- %TEMP%\1_18\hadg.icm
- %TEMP%\1_18\jponiu.txt
- %TEMP%\1_18\gwdeuo.txt
- %TEMP%\1_18\duij.txt
- %TEMP%\1_18\gjep.xls
- %TEMP%\1_18\epemqphfcw.docx
- %TEMP%\1_18\jhlqnx.exe
- %TEMP%\1_18\utdvolarwu.vbe
- %TEMP%\1_18\gqigrdoj.bmp
- %TEMP%\1_18\fgex.icm
- %TEMP%\1_18\rolmhkdjhe.msc
- %HOMEPATH%\temp\fgex.icm
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\1_18\jhlqnx.exe
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\1_18\utdvolarwu.vbe"
- '%TEMP%\1_18\jhlqnx.exe' gqigrdoj.bmp
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe'
