Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\CLSID\{00000000-1111-2222-3333-444444444444}\shell\open\command] '' = '<SYSTEM32>\dirLock.exe %1'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' <SYSTEM32>\lockfileqy.dll /s
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\xp corona.ini
- <SYSTEM32>\lockfileqy.dll
- %TEMP%\saphardana.ini
- %TEMP%\sage.ini
- <SYSTEM32>\DialogPass.exe
- <SYSTEM32>\dirLock.exe
- <SYSTEM32>\sr.dll
- <SYSTEM32>\mypig.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\lockfileqy.dll
- <SYSTEM32>\sr.dll
- <SYSTEM32>\dirLock.exe
Удаляет следующие файлы:
- %TEMP%\saphardana.ini
- %TEMP%\sage.ini
- %TEMP%\xp corona.ini
Другое:
Ищет следующие окна:
- ClassName: 'msctls_updown32' WindowName: '(null)'
- ClassName: 'MS_WINHELP' WindowName: '(null)'
