Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Classes\txtfile\shell\open\command] '' = '<SYSTEM32>\notepad.exe %1'
- [HKLM\SOFTWARE\Classes\inifile\shell\open\command] '' = '<SYSTEM32>\notepad.exe %1'
- [HKLM\SOFTWARE\Classes\inffile\shell\open\command] '' = '<SYSTEM32>\notepad.exe %1'
- [HKLM\SOFTWARE\Classes\batfile\shell\open\command] '' = '"%1" %*'
- [HKLM\SOFTWARE\Classes\cmdfile\shell\open\command] '' = '"%1" %*'
- [HKLM\SOFTWARE\Classes\hlpfile\shell\open\command] '' = '%WINDIR%\winhlp32.exe %1'
- [HKLM\SOFTWARE\Classes\regfile\shell\open\command] '' = 'regedit.exe "%1"'
- [HKCU\SoftWare\Microsoft\Windows NT\CurrentVersion\Windows] 'Load' = ''
- [HKLM\Software\Classes\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\open\command] '' = '%WINDIR%\explorer.exe'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
блокирует:
- Компонент восстановления системы (SR)
Изменения в файловой системе
Создает следующие файлы
- D:\temp.reg
Удаляет следующие файлы
- D:\temp.reg
Подменяет следующие файлы
- D:\temp.reg
Сетевая активность
TCP
Другие
- '34.##9.100.209':443
Другое
Ищет следующие окна
- ClassName: 'RegEdit_RegEdit' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\regsvr32.exe' /s <SYSTEM32>\hhctrl.ocx (со скрытым окном)
- '%WINDIR%\regedit.exe' /s d:\temp.reg (со скрытым окном)
