Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\wuauserv] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\run.exe'
Запускает на исполнение:
- '<SYSTEM32>\reg.exe' query HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Network\{4D36E972-E325-11CE-BFC1-08002BE10318}
- '<SYSTEM32>\findstr.exe' "}\\{"
- '<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Network\{4D36E972-E325-11CE-BFC1-08002BE10318}\{22475450-5E7A-4A9A-8E13-23DC57A7A7A5}\Connection /v IpCheckingEnabled /t REG_DWORD /d 0 /f
- '%WINDIR%\regedit.exe' /s "<SYSTEM32>\????.reg"
- '<SYSTEM32>\sc.exe' config srservice start= DISABLED
- '<SYSTEM32>\sc.exe' config wuauserv start= AUTO
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\aut2.tmp
- %TEMP%\bt3557.bat
- %TEMP%\aut1.tmp
- <SYSTEM32>\run.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\bt3557.bat
Удаляет следующие файлы:
- %TEMP%\aut2.tmp
- %TEMP%\aut1.tmp
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'RegEdit_RegEdit' WindowName: '(null)'
