Техническая информация
Для обеспечения автозапуска и распространения:
Подменяет следующие исполняемые системные файлы:
- %WINDIR%\pchealth\helpctr\binaries\pchsvc.dll файлом %TEMP%\1567811bx.tmp
- <SYSTEM32>\dllcache\pchsvc.dll файлом %TEMP%\1567812bx.tmp
Заражает следующие исполняемые файлы:
- %TEMP%\1567811bx.tmp
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\pchealth.tmp'
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c del <Полный путь к вирусу> > nul
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\1567812bx.tmp
- %TEMP%\1570782rsa.tmp
- %TEMP%\1569682rsa.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\pchealth.tmp
- %TEMP%\1567811bx.tmp
Перемещает следующие системные файлы:
- %WINDIR%\pchealth\helpctr\binaries\pchsvc.dll в %WINDIR%\pchealth\helpctr\binaries\helpctr.dll
Перемещает следующие файлы:
- %TEMP%\1570782rsa.tmp в %TEMP%\pchealth.tmp
- %TEMP%\1569682rsa.tmp в %TEMP%\1567811bx.tmp
Самоудаляется.
