Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\WindowsUpdate.lnk
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\svhost.exe'
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /F /IM AVP.exe
- '<SYSTEM32>\taskkill.exe' /F /IM egui.exe
- '<SYSTEM32>\taskkill.exe' /F /IM msconfig.exe
- '<SYSTEM32>\taskkill.exe' /F /IM regedit.exe
- '<SYSTEM32>\taskkill.exe' /F /IM cmd.exe
- '<SYSTEM32>\taskkill.exe' /F /IM avgnt.exe
- '<SYSTEM32>\taskkill.exe' /F /IM avguard.exe
- '<SYSTEM32>\taskkill.exe' /F /IM alg.exe
- '<SYSTEM32>\taskkill.exe' /F /IM ekrn.exe
- '<SYSTEM32>\taskkill.exe' /F /IM ffavg.exe
- '<SYSTEM32>\taskkill.exe' /F /IM fraps.exe
- '<SYSTEM32>\taskkill.exe' /F /IM kaspersky.exe
- '<SYSTEM32>\taskkill.exe' /F /IM camtasia.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Unlocker.exe
- '<SYSTEM32>\taskkill.exe' /F /IM notepad.exe
- '<SYSTEM32>\taskkill.exe' /F /IM rstrui.exe
- '<SYSTEM32>\taskkill.exe' /F /IM explorer.exe
- '<SYSTEM32>\taskkill.exe' /F /IM taskmgr.exe
- '<SYSTEM32>\taskkill.exe' /F /IM virtualbox.exe
- '<SYSTEM32>\taskkill.exe' /F /IM safe mode.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\alg.exe
- <SYSTEM32>\cmd.exe
- %WINDIR%\Explorer.EXE
следующие пользовательские процессы:
- ekrn.exe
- AVP.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\locales\sw.pak
- %TEMP%\locales\ta.pak
- %TEMP%\locales\sr.pak
- %TEMP%\locales\sv.pak
- %TEMP%\locales\tr.pak
- %TEMP%\locales\uk.pak
- %TEMP%\locales\te.pak
- %TEMP%\locales\th.pak
- %TEMP%\locales\pt-BR.pak
- %TEMP%\locales\pt-PT.pak
- %TEMP%\locales\nl.pak
- %TEMP%\locales\pl.pak
- %TEMP%\locales\sk.pak
- %TEMP%\locales\sl.pak
- %TEMP%\locales\ro.pak
- %TEMP%\locales\ru.pak
- %TEMP%\libcef.dll
- %TEMP%\libEGL.dll
- %TEMP%\d3dx9_43.dll
- %TEMP%\icudt.dll
- %TEMP%\svhost.exe
- %TEMP%\PSE20\1d3da44adca4d2ad3d8ec7b365f417bb\php.ini
- %TEMP%\libGLESv2.dll
- %TEMP%\php5ts.dll
- %TEMP%\locales\zh-TW.pak
- %TEMP%\avcodec-53.dll
- %TEMP%\locales\vi.pak
- %TEMP%\locales\zh-CN.pak
- %TEMP%\chrome.pak
- %TEMP%\d3dcompiler_43.dll
- %TEMP%\avformat-53.dll
- %TEMP%\avutil-51.dll
- %TEMP%\locales\nb.pak
- %TEMP%\locales\en-US.pak
- %TEMP%\locales\es-419.pak
- %TEMP%\locales\el.pak
- %TEMP%\locales\en-GB.pak
- %TEMP%\locales\fa.pak
- %TEMP%\locales\fi.pak
- %TEMP%\locales\es.pak
- %TEMP%\locales\et.pak
- %TEMP%\locales\bg.pak
- %TEMP%\locales\bn.pak
- %TEMP%\locales\am.pak
- %TEMP%\locales\ar.pak
- %TEMP%\locales\da.pak
- %TEMP%\locales\de.pak
- %TEMP%\locales\ca.pak
- %TEMP%\locales\cs.pak
- %TEMP%\locales\kn.pak
- %TEMP%\locales\ko.pak
- %TEMP%\locales\it.pak
- %TEMP%\locales\ja.pak
- %TEMP%\locales\ml.pak
- %TEMP%\locales\mr.pak
- %TEMP%\locales\lt.pak
- %TEMP%\locales\lv.pak
- %TEMP%\locales\gu.pak
- %TEMP%\locales\he.pak
- %TEMP%\locales\fil.pak
- %TEMP%\locales\fr.pak
- %TEMP%\locales\hu.pak
- %TEMP%\locales\id.pak
- %TEMP%\locales\hi.pak
- %TEMP%\locales\hr.pak
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
