Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\monmvr32.exe
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\svchost.exe
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\~tm39b5.tmp
- %TEMP%\~tm3aa0.tmp
- %TEMP%\~tm3b2d.tmp
- %APPDATA%\avdrn.dat
- %TEMP%\~tm15258.tmp
- %TEMP%\~tm3e37.tmp
- %TEMP%\~tm3f9f.tmp
- %TEMP%\~tm4145.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\microsoft\windows\start menu\programs\startup\monmvr32.exe
Удаляет следующие файлы
- %TEMP%\~tm39b5.tmp
- %TEMP%\~tm3aa0.tmp
- %TEMP%\~tm3b2d.tmp
- %TEMP%\~tm15258.tmp
- %TEMP%\~tm3e37.tmp
- %TEMP%\~tm3f9f.tmp
- %TEMP%\~tm4145.tmp
Самоперемещается
- из <Полный путь к файлу> в %TEMP%\~tm3cb4.tmp
Сетевая активность
UDP
- DNS ASK be####rverside.com
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\svchost.exe' -k netsvcs
