Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msgsmgr' = '<SYSTEM32>\nbtsdump.exe'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\attrib.exe' -r -s -h "<Полный путь к вирусу>"
- '<SYSTEM32>\dumprep.exe' 2892 -dm 7 7 %TEMP%\WER9094.dir00\explorer.exe.hdmp 16325836412027212
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\sysdm.cpl,NoExecuteProcessException %WINDIR%\explorer.exe
- '%WINDIR%\explorer.exe'
- '<SYSTEM32>\cmd.exe' /c ""<Текущая директория>\164906.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\dumprep.exe' 2892 -dm 7 7 %TEMP%\WER9094.dir00\explorer.exe.mdmp 16325836412027192
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\rundll32.exe
- <SYSTEM32>\dumprep.exe
- %WINDIR%\explorer.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\WER9094.dir00\explorer.exe.hdmp
- %TEMP%\WER9094.dir00\appcompat.txt
- %TEMP%\WER9094.dir00\manifest.txt
- <SYSTEM32>\nbtsdump.exe
- <Текущая директория>\164906.bat
- %TEMP%\WER9094.dir00\explorer.exe.mdmp
Самоудаляется.
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
