Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%WINDIR%\system\tpkIM32.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\yjaufo71] 'Start' = '00000000'
Вредоносные функции:
Создает и запускает на исполнение:
- %WINDIR%\system\10576.exe
- %WINDIR%\system\tpkIM32.exe
Запускает на исполнение:
- <SYSTEM32>\rundll32.exe "<SYSTEM32>\yjaufo71",DllCanUnloadNow
- <SYSTEM32>\regsvr32.exe /s <SYSTEM32>\SCIntruder.dll
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\tmp4.CAB
- <SYSTEM32>\SCIntruder.dll
- %TEMP%\tmp5.CAB
- <DRIVERS>\yjaufo71.sys
- <SYSTEM32>\yjaufo71.dll
- %WINDIR%\system\tpkIM32.exe
- %TEMP%\nsh2.tmp
- %WINDIR%\system\vm_WDM.dll
- %TEMP%\tmp3.CAB
- %WINDIR%\system\10576.exe
Удаляет следующие файлы:
- %TEMP%\tmp5.CAB
- %TEMP%\tmp4.CAB
- %TEMP%\tmp3.CAB
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
