Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'svchost' = '"%TEMP%\cg\run.exe"'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\cg\svchost.exe'
- '%TEMP%\cg\run.exe'
Запускает на исполнение:
- '%WINDIR%\explorer.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\cg\run.exe
- %TEMP%\cg\scrypt130302.cl
- %TEMP%\cg\poclbm130302.cl
- %TEMP%\cg\libusb-1.0.dll
- %TEMP%\cg\phatk121016.cl
- %TEMP%\cg\zlib1.dll
- %TEMP%\nsv2.tmp\SelfDel.dll
- %TEMP%\cg\svchost.exe
- %TEMP%\cg\scrypt130511.cl
- %TEMP%\cg\ssleay32.dll
- %TEMP%\cg\diablo130302.cl
- %TEMP%\cg\diakgcn121016.cl
- %TEMP%\cg\cgminer.conf
- %TEMP%\nsv2.tmp\System.dll
- %TEMP%\cg\API.class
- %TEMP%\cg\librtmp.dll
- %TEMP%\cg\libssh2.dll
- %TEMP%\cg\libidn-11.dll
- %TEMP%\cg\libcurl.dll
- %TEMP%\cg\libeay32.dll
Удаляет следующие файлы:
- %TEMP%\nsv2.tmp\System.dll
- %TEMP%\nsv2.tmp\SelfDel.dll
Самоудаляется.
