Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\17cf876b] 'Start' = '00000002'
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\wshtcpip.dll файлом <SYSTEM32>\wshtcpip.dll
Вредоносные функции:
Запускает на исполнение:
- <SYSTEM32>\cmd.exe /c %TEMP%\Coor.bat
- <SYSTEM32>\regsvr32.exe /s /c <SYSTEM32>\Softdos.dll
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\ex8du.dll
- %TEMP%\EyquRRyYs.dll
- %TEMP%\Coor.bat
- <SYSTEM32>\wshtcpwu.dll
- <SYSTEM32>\Softdos.dll
- <DRIVERS>\17cf876b.sys
- %TEMP%\B1.zip
- %TEMP%\A1.zip
Перемещает следующие системные файлы:
- <SYSTEM32>\wshtcpip.dll в <SYSTEM32>\ts82h
Самоудаляется.
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
