Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '?????' = '%ALLUSERSPROFILE%\Synaptics\Synaptics.exe'
Заражает следующие исполняемые файлы
- %HOMEPATH%\desktop\notepad.exe
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\._cache_<Имя файла>.exe
- %ALLUSERSPROFILE%\synaptics\synaptics.exe
- <Текущая директория>\._cache_synaptics.exe
- %TEMP%\ewczjlrh.exe
- %TEMP%\rcxbc2d.tmp
- %TEMP%\ewczjlrh.ico
- %TEMP%\rcxbecd.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- <Текущая директория>\._cache_<Имя файла>.exe
- %ALLUSERSPROFILE%\synaptics\synaptics.exe
- <Текущая директория>\._cache_synaptics.exe
Удаляет следующие файлы
- %TEMP%\ewczjlrh.exe
- %TEMP%\ewczjlrh.ico
Перемещает следующие файлы
- %TEMP%\rcxbc2d.tmp в %TEMP%\ewczjlrh.exe
- %TEMP%\rcxbecd.tmp в %TEMP%\ewczjlrh.exe
Сетевая активность
Подключается к
- 'fr####s.afraid.org':80
TCP
Запросы HTTP GET
- http://fr####s.afraid.org/api/?ac###########################################################
UDP
- DNS ASK xr##.mooo.com
- DNS ASK fr####s.afraid.org
Другое
Ищет следующие окна
- ClassName: 'MS_WINHELP' WindowName: ''
Создает и запускает на исполнение
- '<Текущая директория>\._cache_<Имя файла>.exe'
- '%ALLUSERSPROFILE%\synaptics\synaptics.exe' InjUpdate
- '<Текущая директория>\._cache_synaptics.exe' InjUpdate
