Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\services\wmiApSrv] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\msiexec.exe'
Запускает на исполнение:
- '<SYSTEM32>\sysprep\sysprep.exe'
- '<SYSTEM32>\consent.exe' 876 352 00000000002DA3D0
- '<SYSTEM32>\net.exe' stop wmiapsrv
- '<SYSTEM32>\conhost.exe' start wmiapsrv
- '<SYSTEM32>\net1.exe' stop wmiapsrv
- '<SYSTEM32>\cmd.exe' /c %TEMP%\tem8A44.tmp.bat
- '<SYSTEM32>\rundll32.exe' "%APPDATA%\Roaming\tmp821B.tmp", tInsMain <Полный путь к вирусу>
- '<SYSTEM32>\consent.exe' 876 256 0000000003117600
- '<SYSTEM32>\DllHost.exe' /Processid:{3AD05575-8857-4850-9277-11B85BDB8E09}
- '<SYSTEM32>\DllHost.exe' /Processid:{E10F6C3A-F1AE-4ADC-AA9D-2FE65525666E}
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\wbem\loadperf.dll
- %TEMP%\tmpA525.tmp
- <SYSTEM32>\w88date.ini
- <SYSTEM32>\sysprep\CRYPTBASE.DLL
- <SYSTEM32>\sysprep\Panther\setupact.log
- <SYSTEM32>\sysprep\Panther\diagwrn.xml
- <SYSTEM32>\sysprep\Panther\diagerr.xml
- %TEMP%\cryptbase.dll
- %APPDATA%\Roaming\tmp821B.tmp
- %APPDATA%\Roaming\tmp81EB.tmp
- %TEMP%\msiexec.exe
- %TEMP%\tmp9877.tmp
- <SYSTEM32>\w88date.ime
- %TEMP%\tem8A44.tmp.bat
Удаляет следующие файлы:
- %TEMP%\tmpA525.tmp
- %TEMP%\msiexec.exe
- %TEMP%\cryptbase.dll
- %APPDATA%\Roaming\tmp821B.tmp
- %APPDATA%\Roaming\tmp81EB.tmp
- %TEMP%\tmp9877.tmp
Самоудаляется.
