Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'XX' = 'rundll32.exe %TEMP%\xx.dll,XMLResFunc XX 0'
Вредоносные функции:
Запускает на исполнение:
- <SYSTEM32>\rundll32.exe %TEMP%\xx.dll,XMLResFunc XX 0
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\~natty0
- %TEMP%\~natty1
- %TEMP%\cmp.z
- %TEMP%\big.t
Удаляет следующие файлы:
- %TEMP%\cfg.ax
- %TEMP%\big.t
- %TEMP%\cmp.z
Самоудаляется.
Сетевая активность:
Подключается к:
- 'localhost':80
TCP:
Запросы HTTP GET:
- localhosthttp://127.0.0.1:80/cxgid/user-4bb09a9c02/33619978/336199780/index.php
