Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\pagefile.pif
- <Имя диска съемного носителя>:\AUTORUN.INF
Вредоносные функции:
Создает и запускает на исполнение:
- <SYSTEM32>\Com\smss.exe
- <SYSTEM32>\Com\lsass.exe
- %TEMP%\RarSFX0\Setup.exe
Запускает на исполнение:
- <SYSTEM32>\cacls.exe <SYSTEM32>\com\lsass.exe /e /t /g Everyone:F
- <SYSTEM32>\cacls.exe <SYSTEM32>\com\smss.exe /e /t /g %USERNAME%:F
- <SYSTEM32>\cacls.exe <SYSTEM32>\com\smss.exe /e /t /g Everyone:F
- <SYSTEM32>\cacls.exe <SYSTEM32>\com\lsass.exe /e /t /g %USERNAME%:F
- <SYSTEM32>\cacls.exe <SYSTEM32>\com /e /t /g %USERNAME%:F
- <SYSTEM32>\cacls.exe <SYSTEM32>\com /e /t /g Everyone:F
- <SYSTEM32>\regsvr32.exe <SYSTEM32>\com\netcfg.dll /s
Завершает или пытается завершить
следующие пользовательские процессы:
- AVPCC.EXE
- AVPM.EXE
- GUARD.EXE
- AVP.COM
- AVP.EXE
- AVP32.EXE
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\167688.log
- C:\037589.log
- <SYSTEM32>\dnsq.dll
- C:\pagefile.pif
- C:\AUTORUN.INF
- <SYSTEM32>\Com\lsass.exe
- C:\NetApi000.sys
- %TEMP%\RarSFX0\Setup.exe
- <SYSTEM32>\Com\smss.exe
- <SYSTEM32>\Com\netcfg.dll
- <SYSTEM32>\Com\netcfg.000
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\AUTORUN.INF
- <SYSTEM32>\dnsq.dll
- C:\pagefile.pif
- <Имя диска съемного носителя>:\pagefile.pif
- <Имя диска съемного носителя>:\AUTORUN.INF
- C:\037589.log
- <SYSTEM32>\Com\smss.exe
- C:\NetApi000.sys
- <SYSTEM32>\Com\netcfg.000
- <SYSTEM32>\Com\lsass.exe
- <SYSTEM32>\Com\netcfg.dll
Удаляет следующие файлы:
- %TEMP%\RarSFX0\Setup.exe
- C:\NetApi000.sys
Другое:
Ищет следующие окна:
- ClassName: 'fg' WindowName: 'gg'
- ClassName: 'gg' WindowName: 'ff'
- ClassName: '#32770' WindowName: 'MCI Program Com Application'
- ClassName: 'XOR' WindowName: 'MSICTFIME SMSS'
- ClassName: 'dd' WindowName: 'gg'
- ClassName: '' WindowName: '????'
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'XOR' WindowName: 'MSCTFIME SMSS'
- ClassName: '' WindowName: '@@????'
- ClassName: '' WindowName: 'SREng ????'
