Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Skype Update' = '%APPDATA%\Microsoft\Flash Player.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\IDM.exe
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\Flash Player.exe.lnk
- <Имя диска съемного носителя>:\Flash Player.exe
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%HOMEPATH%\Start Menu\Programs\Startup\IDM.exe' = '%HOMEPATH%\Start Menu\Programs\Startup\IDM.exe:*:Enabled:IDM.exe'
Создает и запускает на исполнение:
- '%HOMEPATH%\Start Menu\Programs\Startup\IDM.exe'
- '%APPDATA%\Microsoft\Flash Player.exe'
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%HOMEPATH%\Start Menu\Programs\Startup\IDM.exe" "IDM.exe" ENABLE
Изменения в файловой системе:
Создает следующие файлы:
- C:\RECYCLER.lnk
- %PROGRAM_FILES%.lnk
- C:\<Служебное имя>.lnk
- <Служебный элемент>
- C:\log.dat.lnk
- %WINDIR%.lnk
- C:\System Volume Information.lnk
- %PROGRAM_FILES%\aut.dll
- %APPDATA%\Microsoft\Flash Player.exe
- %TEMP%\aut1.tmp
- C:\Flash Player.exe
- C:\Far2.lnk
- C:\Documents and Settings.lnk
- <Текущая директория>.lnk
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\Flash Player.exe
- <Имя диска съемного носителя>:\Flash Player.exe
- %APPDATA%\Microsoft\Flash Player.exe
Удаляет следующие файлы:
- <Имя диска съемного носителя>:\Flash Player.exe
- C:\Flash Player.exe
- C:\Flash Player.exe.lnk
- %TEMP%\aut1.tmp
- <Имя диска съемного носителя>:\Flash Player.exe.lnk
Сетевая активность:
Подключается к:
- 'sy###.sytes.net':1177
UDP:
- DNS ASK sy###.sytes.net
