Техническая информация
Для обеспечения автозапуска и распространения:
Изменяет следующие исполняемые системные файлы:
- <SYSTEM32>\dllcache\powrprof.dll
- <SYSTEM32>\dllcache\wininet.dll
- <SYSTEM32>\dllcache\dnsapi.dll
- <SYSTEM32>\dllcache\kernel32.dll
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\powrprof.dll файлом <SYSTEM32>\powrprof.dll
- <SYSTEM32>\dnsapi.dll файлом <SYSTEM32>\dnsapi.dll
- <SYSTEM32>\wininet.dll файлом <SYSTEM32>\wininet.dll
- <SYSTEM32>\kernel32.dll файлом <SYSTEM32>\kernel32.dll
Заражает следующие исполняемые файлы:
- <SYSTEM32>\powrprof.dll
- <SYSTEM32>\dnsapi.dll
- <SYSTEM32>\wininet.dll
- <SYSTEM32>\kernel32.dll
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\wincode.res
- <SYSTEM32>\olsysp.dat
- <SYSTEM32>\pwrcode.res
- <SYSTEM32>\nsysd.ini
- <SYSTEM32>\krnkode.res
- <SYSTEM32>\nsysp.ini
- <SYSTEM32>\nsysw.dat
- <SYSTEM32>\shifld2.old
- <SYSTEM32>\olsysw.dat
- <SYSTEM32>\olsysk.dat
- <SYSTEM32>\nsysk.ini
Перемещает следующие системные файлы:
- <SYSTEM32>\powrprof.dll в <SYSTEM32>\sysp.tmp
- <SYSTEM32>\dnsapi.dll в <SYSTEM32>\rsysd.tmp
- <SYSTEM32>\wininet.dll в <SYSTEM32>\sysw.tmp
- <SYSTEM32>\kernel32.dll в <SYSTEM32>\sysk.tmp
