Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\NtSSDPSRV] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- <SYSTEM32>\cmd.exe /c %TEMP%\dvi.bat
- <SYSTEM32>\svchost.exe -k NtSSDPSRV
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'PROCMON_WINDOW_CLASS' WindowName: ''
- ClassName: 'OllyDbg' WindowName: ''
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\c_501.nls
- <SYSTEM32>\c_1125.nls
- <SYSTEM32>\c_640.nls
- %TEMP%\dvi.bat
- <SYSTEM32>\C_1183.NLS
- <SYSTEM32>\Bot_ProgSvcDll(Revise).dll_
- <SYSTEM32>\ntsjsvc.dll
Удаляет следующие файлы:
- <SYSTEM32>\C_1183.NLS
- <SYSTEM32>\Bot_ProgSvcDll(Revise).dll_
Самоудаляется.
Другое:
Ищет следующие окна:
- ClassName: 'WinDbgFrameClass' WindowName: ''
- ClassName: 'SandboxieControlWndClass' WindowName: ''
- ClassName: '18467-41' WindowName: ''
