Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'FROVPVBP' = '<SYSTEM32>\FROVPVBP.exe'
Вредоносные функции:
Запускает на исполнение:
- <SYSTEM32>\regsvr32.exe /s <SYSTEM32>\FROVPVBP20.dll
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Устанавливает процедуры перхвата сообщений
о нажатии клавиш клавиатуры:
- Библиотека-обработчик для всех процессов: <SYSTEM32>\FROVPVBP10.dll
Ищет следующие окна с целью
обхода различных антивирусов:
- ClassName: 'AVP.Product_Notification' WindowName: ''
- ClassName: 'AVP.AlertDialog' WindowName: ''
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\FROVPVBP10.dll
- <SYSTEM32>\FROVPVBP20.dll
- <SYSTEM32>\FROVPVBP.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\FROVPVBP10.dll
- <SYSTEM32>\FROVPVBP.exe
Самоудаляется.
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
