Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'qfafydwdodspytyfkl' = '%WINDIR%\SysWOW64\srv266.exe'
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\ulqxmtuoxlSv\Parameters] 'ServiceDll' = '%WINDIR%\SysWOW64\svculqxmtu.dll'
- [HKLM\System\CurrentControlSet\Services\ulqxmtuoxlSv] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\ulqxmtuoxlSv] 'ImagePath' = '<SYSTEM32>\svchost.exe -k DcomSec'
Создает следующие сервисы
- 'ulqxmtuoxlSv' <SYSTEM32>\svchost.exe -k DcomSec
Изменения в файловой системе
Создает следующие файлы
- C:\logbot.txt
- %TEMP%\lis7fba.tmp
- %WINDIR%\syswow64\srv266.exe
- %WINDIR%\syswow64\svculqxmtu.dll
- %WINDIR%\temp\lspc080.exe
- %TEMP%\lsec2e2.tmp
- %WINDIR%\temp\lspaf9.exe
- %WINDIR%\temp\lse168c.tmp
Удаляет следующие файлы
- %WINDIR%\temp\lspc080.exe
- %WINDIR%\temp\lspaf9.exe
Другое
Создает и запускает на исполнение
- '%WINDIR%\temp\lspaf9.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\svchost.exe' -k DcomSec
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%WINDIR%\TEMP\lspC080.exe" (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%WINDIR%\TEMP\lspAF9.exe" (со скрытым окном)
