Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\PolicyAgent] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\sc.exe' config PolicyAgent start= auto
- '<SYSTEM32>\sc.exe' start PolicyAgent Services
- '<SYSTEM32>\gpupdate.exe' /force /wait:0
- '<SYSTEM32>\find.exe' /i "PolicyAgent"
- '<SYSTEM32>\wscript.exe' "<DRIVERS>\etc\lnk.vbs"
- '<SYSTEM32>\cmd.exe' /c ""<DRIVERS>\etc\safe.bat" "
- '<SYSTEM32>\sc.exe' query PolicyAgent
Изменения в файловой системе:
Создает следующие файлы:
- <DRIVERS>\etc\gpt.ini
- <SYSTEM32>\GroupPolicy
- %ALLUSERSPROFILE%\ntuser.pol
- <DRIVERS>\etc\ntuser.pol
- <DRIVERS>\etc\lnk.vbs
- <DRIVERS>\etc\safe.bat
- <DRIVERS>\etc\Registry.pol
Удаляет следующие файлы:
- <DRIVERS>\etc\lnk.vbs
Изменяет файл HOSTS.
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
