Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{6A2LU-E4DN3-64S2G-3VH85-2P0SC}] 'StubPath' = 'c:\ma_e\ti_si_smece\norah.exe'
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\aUtOrUn.inf
- <Имя диска съемного носителя>:\ma_e\ti_si_smece\norah.exe
- <Имя диска съемного носителя>:\ma_e\ti_si_smece\DesKTop.ini
Вредоносные функции:
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- C:\ma_e\ti_si_smece\norah.exe
- C:\ma_e\ti_si_smece\DesKTop.ini
Присваивает атрибут 'скрытый' для следующих файлов:
- <Имя диска съемного носителя>:\ma_e\ti_si_smece\norah.exe
Сетевая активность:
Подключается к:
- 'ac#####3n.dynalias.com':8888
- 'ac######t33n.blogdns.org':8888
- 'ac#####v3.dvrdns.org':8888
UDP:
- DNS ASK ac#####3n.dynalias.com
- DNS ASK ac######t33n.blogdns.org
- DNS ASK ac#####v3.dvrdns.org
