Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Control\Print\Providers\Splhlp] 'Name' = '%ALLUSERSPROFILE%\Documents\k.dll'
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\dllcache\winlogon.exe файлом <SYSTEM32>\temp.tmp
- <SYSTEM32>\dllcache\explorer.exe файлом <SYSTEM32>\temp.tmp
- %WINDIR%\explorer.exe файлом %WINDIR%\temp.tmp
- <SYSTEM32>\winlogon.exe файлом <SYSTEM32>\temp.tmp
Вредоносные функции:
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\spoolsv.exe
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\k.dll
- %WINDIR%\temp.tmp
- <SYSTEM32>\temp.tmp
- %ALLUSERSPROFILE%\Documents\dll
- %ALLUSERSPROFILE%\Documents\k.dll
- <SYSTEM32>\dll
Удаляет следующие файлы:
- %ALLUSERSPROFILE%\Documents\k.dll
- %ALLUSERSPROFILE%\Documents\dll
Перемещает следующие системные файлы:
- <SYSTEM32>\winlogon.exe в %WINDIR%\Temp\winlogon.dat
- %WINDIR%\explorer.exe в %WINDIR%\Temp\explorer.dat
Самоперемещается:
- из <Полный путь к вирусу> в %ALLUSERSPROFILE%\Documents\19792079
