Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\wga\wga-fix.exe'
- 'C:\wga\MGADiag.exe'
- 'C:\wga\findkey.exe'
- 'C:\wga\wga.exe'
- 'C:\wga\Keygen.exe'
Запускает на исполнение:
- '<SYSTEM32>\wscript.exe' "C:\wga\chgxp.vbs" BTD6B-7BW3C-6TYX4-F8M49-D89P6
- '<SYSTEM32>\cmd.exe' /c ""c:\wga\wga.cmd" "
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsl2.tmp
- C:\wga\MGADiag.exe
- %TEMP%\nsb3.tmp\System.dll
- %ALLUSERSPROFILE%\Application Data\Windows Genuine Advantage\data\data.dat
- <DRIVERS>\etc\hosts1.bak
- C:\wga\Keygen.exe
- C:\wga\wga.exe
- C:\wga\wga.cmd
- C:\wga\wga-fix.exe
- C:\wga\findkey.exe
- C:\wga\chgxp.vbs
Удаляет следующие файлы:
- C:\wga\wga-fix.exe
- C:\wga\MGADiag.exe
- C:\wga\wga.exe
- C:\wga\wga.cmd
- C:\wga\chgxp.vbs
- %TEMP%\nsb3.tmp\System.dll
- C:\wga\Keygen.exe
- C:\wga\findkey.exe
Изменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'localhost':443
Другое:
Ищет следующие окна:
- ClassName: 'BUTTON' WindowName: '(null)'
- ClassName: 'MS_WINHELP' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
