Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- emdb.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [HKCU\Software\Google\Google Talk\Accounts]
- [HKCU\Software\Paltalk]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\emdb.exe
- %TEMP%\sysini.exe
- %TEMP%\emdb\registry.rw.tvr.lck.hlnsabxv.ffffffff3b4
- %TEMP%\emdb\registry.rw.tvr
- %TEMP%\emdb\registry.rw.tvr.transact
- %TEMP%\emdb\registry.tlog.cache
- %TEMP%\fonts\a91aa7677763cdaa3722663dcb1c0b1634667f6b\-2324.2352.tmp
- %TEMP%\emdb\skel\2324-1.manifest
- %TEMP%\emdb\skel\2324-2.manifest
- %TEMP%\emdb\skel\2324-3.manifest
- %TEMP%\emdb\skel\2324-4.manifest
- %TEMP%\emdb\registry.tlog
- %LOCALAPPDATA%\xenocode\sandbox\1.0.0.0\2010.07.31t19.08\virtual\stubexe\8.0.1112\@appdatalocal@\temp\server.exe
- %APPDATA%\chrtmp
Удаляет следующие файлы
- %TEMP%\emdb\skel\2324-1.manifest
- %TEMP%\emdb\skel\2324-2.manifest
- %TEMP%\emdb\skel\2324-3.manifest
- %TEMP%\emdb\skel\2324-4.manifest
Перемещает следующие файлы
- %TEMP%\emdb\registry.rw.tvr.lck.hlnsabxv.ffffffff3b4 в %TEMP%\emdb\registry.rw.tvr.lck
- %TEMP%\fonts\a91aa7677763cdaa3722663dcb1c0b1634667f6b\-2324.2352.tmp в %TEMP%\fonts\a91aa7677763cdaa3722663dcb1c0b1634667f6b\britanic.ttf
Другое
Ищет следующие окна
- ClassName: 'EMDBSingleInstance' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\emdb.exe'
- '%TEMP%\sysini.exe'
- '%LOCALAPPDATA%\xenocode\sandbox\1.0.0.0\2010.07.31t19.08\virtual\stubexe\8.0.1112\@appdatalocal@\temp\server.exe'
