Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\apcdli] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\scm.exe' start %PROGRAM_FILES%\Microsoft Office\SYSTEM\apcdli.sys
- '<SYSTEM32>\dlbar.exe'
- '%TEMP%\scm.exe' install %PROGRAM_FILES%\Microsoft Office\SYSTEM\apcdli.sys
- '%TEMP%\scm.exe' getparentpid
- '%TEMP%\scm.exe' stop %PROGRAM_FILES%\Microsoft Office\SYSTEM\apcdli.sys
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\dlbar.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\_inimac
- %PROGRAM_FILES%\Microsoft Office\SYSTEM\47.sys
- %TEMP%\nsh2.tmp\System.dll
- %PROGRAM_FILES%\Microsoft Office\SYSTEM\scm05.exe
Удаляет следующие файлы:
- %TEMP%\nsh2.tmp\System.dll
- %TEMP%\scm.exe
- <SYSTEM32>\dlbar.exe
Перемещает следующие файлы:
- %PROGRAM_FILES%\Microsoft Office\SYSTEM\47.sys в %PROGRAM_FILES%\Microsoft Office\SYSTEM\apcdli.sys
- %PROGRAM_FILES%\Microsoft Office\SYSTEM\scm05.exe в %TEMP%\scm.exe
Сетевая активность:
Подключается к:
- 'lo####.51edm.net':1207
UDP:
- DNS ASK lo####.51edm.net
