Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'arakrnl.exe'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
- Редактора реестра (RegEdit)
Создает и запускает на исполнение:
- '%WINDIR%\armedkrnl.exe'
Изменяет следующие настройки проводника Windows (Windows Explorer):
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoControlPanel' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoDesktop' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoTrayContextMenu' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFileMenu' = '00000001'
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\P1nUAGuVW
- %WINDIR%\21pVw
- %WINDIR%\8eksgxJtrn
- %WINDIR%\xc635r7jx
- %WINDIR%\K7ANSv7oT
- %WINDIR%\ETCLKvesw
- %WINDIR%\DAMPdJ
- %WINDIR%\giNHqUbuk
- %WINDIR%\S5Dbdve
- %WINDIR%\f1lVq
- %WINDIR%\3PbeVvG
- %WINDIR%\PUv3bTX
- %WINDIR%\1Qody
- %WINDIR%\jNSRXFJsJ7
- %WINDIR%\DktlU6C8mk
- %WINDIR%\LuDuN
- %WINDIR%\tml6qiq
- %WINDIR%\XVWyP6a
- %WINDIR%\mcmwjfOXR
- %WINDIR%\8igRv8
- %WINDIR%\EcsoXeAyo
- %WINDIR%\t6GWR
- %WINDIR%\7FySXX
- %WINDIR%\c7L7BRfKcF
- %WINDIR%\etv3EK
- %WINDIR%\ndSE2lyFXD
- %WINDIR%\oSp35BY
- %WINDIR%\hGqA15t
- %WINDIR%\IWqUry6
- %WINDIR%\lyl8xnex
- %WINDIR%\DGlBs
- %WINDIR%\apk45
- %WINDIR%\arakrnl.exe
- %WINDIR%\armedkrnl.exe
- %WINDIR%\YpAmUgoa31
- %WINDIR%\t2KPYn
- %WINDIR%\YPHRgRvC5X
- %WINDIR%\kIATQ
- %WINDIR%\hGCjBc
- %WINDIR%\lyMTHc
- %WINDIR%\cmbffy
- %WINDIR%\N2BQ6t
- %WINDIR%\MIqsmxGT
- %WINDIR%\s471PF
- %WINDIR%\wGLwEbWGLI
- %WINDIR%\o7NNU
- %WINDIR%\kUcM14AQ
- %WINDIR%\Tjc86qhAl
- %WINDIR%\evU5fDfQbc
- %WINDIR%\7GwBG6HaNy
- %WINDIR%\Yj1ijK5
- %WINDIR%\sgNdyT1
- %WINDIR%\CMy7W5Uo
- %WINDIR%\n3Y4tAe
- %WINDIR%\dMSqgMKIo
- %WINDIR%\QJsV8G
- %WINDIR%\66PhPC4W
- %WINDIR%\twdgfbMG
- %WINDIR%\wlxlJD5XED
- %WINDIR%\Ng6OlDwFkl
- %WINDIR%\iEsO3nvkgM
- %WINDIR%\bpbHsHQ
- %WINDIR%\jn3Jug6J
- %WINDIR%\dOxjMChCVp
- %WINDIR%\JSs16oG5
- %WINDIR%\qjRFCnLq8n
- %WINDIR%\sSRfQ
- %WINDIR%\75LVxyCj
- %WINDIR%\aJiC8WXW63
- %WINDIR%\GxKTkswbd
- %WINDIR%\a6NbG
- %WINDIR%\dF8dRTEs
- %WINDIR%\axjxSkwIjs
- %WINDIR%\ecUuorqCN7
- %WINDIR%\kcAMSX2vJj
- %WINDIR%\fxRTGTE
- %WINDIR%\KOvjRC7
- %WINDIR%\5pHajPSf
- %WINDIR%\Sj2h8Q61A
- %WINDIR%\yVFvn
- %WINDIR%\yymwBupKB
- %WINDIR%\yRlByjiK
- %WINDIR%\nCckJ
- %WINDIR%\DpRBhr1oL
- %WINDIR%\XAEo6Fy
- %WINDIR%\LK5pQcT
- %WINDIR%\cN4T3v
- %WINDIR%\ILyf6y
- %WINDIR%\jVHAH
- %WINDIR%\kQOH5Tq5rn
- %WINDIR%\gQo8D3
- %WINDIR%\jEPQfE
- %WINDIR%\3rAfn7M1gR
- %WINDIR%\jRAeddSRjj
- %WINDIR%\j8Njw
- %WINDIR%\1LPga
- %WINDIR%\LdXNar
- %WINDIR%\5HogW
- %WINDIR%\XkLrT4lHb
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\armedkrnl.exe
- %WINDIR%\arakrnl.exe
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
