Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,%APPDATA%\mssecurity\svchost.exe'
- [\REGISTRY\USER\S-1-5-21-3691498038-2086406363-2140527554-1000\Software\Microsoft\Windows\CurrentVersion\Run] 'Microsoft Security Essential' = '%APPDATA%\mssecurity\svchost.exe'
- [\REGISTRY\USER\S-1-5-21-3691498038-2086406363-2140527554-1000\Software\Microsoft\Windows\CurrentVersion\Run] 'systemupdate' = '<SYSTEM32>\update\system.exe'
- [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'UserInit' = '<SYSTEM32>\userinit.exe,<SYSTEM32>\update\system.exe'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\update\system.exe
следующие пользовательские процессы:
- iexplore.exe
- 123.exe
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\123.exe
- %APPDATA%\mssecurity\svchost.exe
- %WINDIR%\syswow64\update\system.exe
Сетевая активность
UDP
- DNS ASK up#####ystem.no-ip.biz
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '<Текущая директория>\123.exe'
- '%WINDIR%\syswow64\update\system.exe'
