Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'svchost.exe' = '<Полный путь к вирусу>'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\reg.exe' /pid=5588
- '<SYSTEM32>\reg.exe' /pid=5636
- '<SYSTEM32>\reg.exe' /pid=5548
- '<SYSTEM32>\reg.exe' /pid=3372
- '<SYSTEM32>\reg.exe' /pid=5724
- '<SYSTEM32>\reg.exe' /pid=4640
- '<SYSTEM32>\reg.exe' /pid=5676
- '<SYSTEM32>\reg.exe' /pid=3976
- '<SYSTEM32>\reg.exe' /pid=3236
- '<SYSTEM32>\reg.exe' /pid=3720
- '<SYSTEM32>\reg.exe' /pid=2540
- '<SYSTEM32>\reg.exe' /pid=5336
- '<SYSTEM32>\reg.exe' /pid=5420
- '<SYSTEM32>\reg.exe' /pid=5460
- '<SYSTEM32>\reg.exe' /pid=2756
- '<SYSTEM32>\reg.exe' /pid=5380
- '<SYSTEM32>\reg.exe' /pid=4868
- '<SYSTEM32>\reg.exe' /pid=5196
- '<SYSTEM32>\reg.exe' /pid=5292
- '<SYSTEM32>\reg.exe' /pid=2628
- '<SYSTEM32>\reg.exe' /pid=5200
- '<SYSTEM32>\reg.exe' /pid=4740
- '<SYSTEM32>\reg.exe' /pid=5916
- '<SYSTEM32>\reg.exe' /pid=3904
- '<SYSTEM32>\reg.exe' /pid=5756
- '<SYSTEM32>\reg.exe' /pid=4900
- '<SYSTEM32>\reg.exe' /pid=4356
- '<SYSTEM32>\reg.exe' /pid=6040
- '<SYSTEM32>\reg.exe' /pid=4260
- '<SYSTEM32>\reg.exe' /pid=728
- '<SYSTEM32>\reg.exe' /pid=4476
- '<SYSTEM32>\reg.exe' /pid=5036
- '<SYSTEM32>\reg.exe' /pid=6088
- '<SYSTEM32>\reg.exe' /pid=836
- '<SYSTEM32>\reg.exe' /pid=3332
- '<SYSTEM32>\reg.exe' /c "%PROGRAM_FILES%\f.bat"
- '<SYSTEM32>\reg.exe' /pid=2992
- '<SYSTEM32>\reg.exe' /pid=3348
- '<SYSTEM32>\reg.exe' /pid=2816
- '<SYSTEM32>\reg.exe' /pid=3340
- '<SYSTEM32>\reg.exe' /pid=812
- '<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /d "google.com" /f
- '<SYSTEM32>\reg.exe' /pid=1728
- '<SYSTEM32>\cmd.exe' /c "%PROGRAM_FILES%\f.bat"
- '<SYSTEM32>\reg.exe' delete "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /f
- '<SYSTEM32>\reg.exe' /pid=3104
- '<SYSTEM32>\reg.exe' /pid=2116
- '<SYSTEM32>\reg.exe' /pid=3016
- '<SYSTEM32>\reg.exe' /pid=2900
- '<SYSTEM32>\reg.exe' /pid=2108
- '<SYSTEM32>\reg.exe' /pid=6072
- '<SYSTEM32>\reg.exe' /pid=5228
- '<SYSTEM32>\reg.exe' /pid=6024
- '<SYSTEM32>\reg.exe' /pid=6064
- '<SYSTEM32>\reg.exe' /pid=6120
- '<SYSTEM32>\reg.exe' /pid=5316
- '<SYSTEM32>\reg.exe' /pid=5268
- '<SYSTEM32>\reg.exe' /pid=6104
- '<SYSTEM32>\reg.exe' /pid=5752
- '<SYSTEM32>\reg.exe' /pid=4996
- '<SYSTEM32>\reg.exe' /pid=2524
- '<SYSTEM32>\reg.exe' /pid=3040
- '<SYSTEM32>\reg.exe' /pid=5976
- '<SYSTEM32>\reg.exe' /pid=5180
- '<SYSTEM32>\reg.exe' /pid=5092
- '<SYSTEM32>\reg.exe' /pid=5936
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\reg.exe
- <SYSTEM32>\cmd.exe
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\f.bat
Сетевая активность:
Подключается к:
- '<IP-адрес в локальной сети>':7000
- 'localhost':1036
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
