Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Microsoft Security Essentials' = '%TEMP%\csrss.exe'
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'shell' = 'explorer.exe,%TEMP%\csrss.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\Roaming\mpack\PO_16652.exe'
Запускает на исполнение:
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /f /v "Microsoft Security Essentials" /t REG_SZ /d "%TEMP%\csrss.exe
- '<SYSTEM32>\conhost.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /f /v "Microsoft Security Essentials" /t REG_SZ /d "%TEMP%\csrss.exe
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%APPDATA%\Roaming\mpack\PO_16652.exe" "PO_16652.exe" ENABLE
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /f /v shell /t REG_SZ /d explorer.exe,"%TEMP%\csrss.exe"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\csrss.exe
- %APPDATA%\Roaming\mpack\PO_16652.exe
Удаляет следующие файлы:
- %APPDATA%\Roaming\mpack\PO_16652.exe
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
