Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'SVCHOST' = 'svchost.com'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
- Редактора реестра (RegEdit)
Завершает или пытается завершить
следующие пользовательские процессы:
- NAVAPW32.EXE
- nod32.exe
- outpost.exe
- lotroclient.exe
- magent.exe
- MCAGENT.EXE
- zapro.exe
- zlclient.exe
- ZONEALARM.EXE
- smc.exe
- sro_client.exe
- ybclient.exe
- GUARD.EXE
- AVSYNMGR.EXE
- bdagent.exe
- drweb.exe
- ash.exe
- ashAvast.exe
- ashAvSrv.exe
- fsav32.exe
- fsavaui.exe
- fsavgui.exe
- drweb386.exe
- elementclient.exe
- fsav.exe
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\system\SystemNetBBS.dll
- <Служебный элемент>
- <SYSTEM32>\svchost.com
- <SYSTEM32>\ClubxXx.exe
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
