Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'arakrnl.exe'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
- Редактора реестра (RegEdit)
изменяет следующие системные настройки:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoControlPanel' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoDesktop' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoTrayContextMenu' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFileMenu' = '00000001'
Запускает на исполнение:
- '%WINDIR%\armedkrnl.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\Mry5MKc
- %WINDIR%\Egaal2vc
- %WINDIR%\HhOvA8cpFK
- %WINDIR%\niEmmP4Dpj
- %WINDIR%\jackDE
- %WINDIR%\IIVJWiSnc
- %WINDIR%\BCFALGw3
- %WINDIR%\cRhWFOl12o
- %WINDIR%\EsalfpU
- %WINDIR%\BSuAyNln
- %WINDIR%\L1eyl
- %WINDIR%\JS3StD
- %WINDIR%\pAS2eG
- %WINDIR%\CHeGVOD
- %WINDIR%\Y42266v2h
- %WINDIR%\iJlfY
- %WINDIR%\ldfSr
- %WINDIR%\vnpHNC
- %WINDIR%\H5WJ8i7
- %WINDIR%\pvae1d
- %WINDIR%\aLsys
- %WINDIR%\ASKqq
- %WINDIR%\YQaDi57l
- %WINDIR%\RWDG5YB5
- %WINDIR%\arakrnl.exe
- %WINDIR%\armedkrnl.exe
- %WINDIR%\KSiXR7
- %WINDIR%\XOmfGN8d8j
- %WINDIR%\Ngvyj
- %WINDIR%\2fbNlweUu
- %WINDIR%\KpJT3Tao
- %WINDIR%\lfxLXe
- %WINDIR%\VlJuo
- %WINDIR%\RCFtdX5
- %WINDIR%\DDNgh
- %WINDIR%\q2yJmKyBi
- %WINDIR%\e2gSyR3FOJ
- %WINDIR%\dcuMgDqH
- %WINDIR%\oi4xyBk
- %WINDIR%\HnBOau7
- %WINDIR%\dQcI6q
- %WINDIR%\T8GH1kIe
- %WINDIR%\x2Aph
- %WINDIR%\bWFlxg6FxL
- %WINDIR%\57ppY
- %WINDIR%\wLIVFdv
- %WINDIR%\mJQLJU
- %WINDIR%\qnkCYSkrQi
- %WINDIR%\TXNwWjUS
- %WINDIR%\67mwG
- %WINDIR%\X8DVuxWq
- %WINDIR%\tS1S2qI
- %WINDIR%\8q2K7odR
- %WINDIR%\DHrdEE
- %WINDIR%\MBfyXfDr
- %WINDIR%\YaIk4d
- %WINDIR%\GpKVB
- %WINDIR%\qrxF6rx1
- %WINDIR%\UNRoF
- %WINDIR%\wR2kT2
- %WINDIR%\7DLMQKL
- %WINDIR%\ej13yHol
- %WINDIR%\gwnN7Ud
- %WINDIR%\inVlrDFX
- %WINDIR%\nU6XW6X8
- %WINDIR%\6pYBAI
- %WINDIR%\OJIbSCkC7G
- %WINDIR%\MMSKgA
- %WINDIR%\H7MBJAFp
- %WINDIR%\3kHq5a
- %WINDIR%\axhTq
- %WINDIR%\GyXWYfHV
- %WINDIR%\6CCOLl
- %WINDIR%\U643Of
- %WINDIR%\yJBruMESAl
- %WINDIR%\txxH4UsI
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\armedkrnl.exe
- %WINDIR%\arakrnl.exe
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
