Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'bdss' = '%HOMEPATH%\My Documents\My Music\bdss.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'bdss' = '%HOMEPATH%\My Documents\My Music\bdss.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%HOMEPATH%\My Documents\My Music\D670316D90A3871BDD38628085FB285B\svchost.exe' -o stratum+tcp://theseven.bounceme.net:3333 -u PXksbbELfo6Eg8KPKyqHqnxSaHhNwVWuHN -p esmpps
- '%HOMEPATH%\My Documents\My Music\bdss.exe'
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\sgiu6aqs.cmdline"
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\My Documents\My Music\D670316D90A3871BDD38628085FB285B\libeay32.dll
- %HOMEPATH%\My Documents\My Music\D670316D90A3871BDD38628085FB285B\libidn-11.dll
- %HOMEPATH%\My Documents\My Music\D670316D90A3871BDD38628085FB285B\libcurl-4.dll
- %HOMEPATH%\My Documents\My Music\D670316D90A3871BDD38628085FB285B\poclbm121016.cl
- %HOMEPATH%\My Documents\My Music\D670316D90A3871BDD38628085FB285B\phatk121016.cl
- %HOMEPATH%\My Documents\My Music\D670316D90A3871BDD38628085FB285B\libpdcurses.dll
- %HOMEPATH%\My Documents\My Music\D670316D90A3871BDD38628085FB285B\zlib1.dll
- %HOMEPATH%\My Documents\My Music\D670316D90A3871BDD38628085FB285B\svchost.exe
- %HOMEPATH%\My Documents\My Music\D670316D90A3871BDD38628085FB285B\ssleay32.dll
- %HOMEPATH%\My Documents\My Music\D670316D90A3871BDD38628085FB285B\libusb-1.0.dll
- %HOMEPATH%\My Documents\My Music\D670316D90A3871BDD38628085FB285B\pthreadGC2.dll
- %TEMP%\sgiu6aqs.out
- %HOMEPATH%\My Documents\My Music\bdss.exe
- %TEMP%\sgiu6aqs.cmdline
- %TEMP%\tmp1.tmp.ico
- %TEMP%\sgiu6aqs.0.cs
- %TEMP%\tmp2.tmp.ico
- %HOMEPATH%\My Documents\My Music\D670316D90A3871BDD38628085FB285B\diablo121016.cl
- %HOMEPATH%\My Documents\My Music\D670316D90A3871BDD38628085FB285B\diakgcn121016.cl
- %HOMEPATH%\My Documents\My Music\RCX5.tmp
- %HOMEPATH%\My Documents\My Music\RCX3.tmp
- %HOMEPATH%\My Documents\My Music\RCX4.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- %HOMEPATH%\My Documents\My Music\bdss.exe
Удаляет следующие файлы:
- %TEMP%\tmp1.tmp.ico
- %HOMEPATH%\My Documents\My Music\bdss.exe
- %TEMP%\sgiu6aqs.cmdline
- %TEMP%\sgiu6aqs.out
- %TEMP%\sgiu6aqs.0.cs
Перемещает следующие файлы:
- %HOMEPATH%\My Documents\My Music\RCX5.tmp в %HOMEPATH%\My Documents\My Music\bdss.exe
- %HOMEPATH%\My Documents\My Music\RCX4.tmp в %HOMEPATH%\My Documents\My Music\bdss.exe
- %HOMEPATH%\My Documents\My Music\RCX3.tmp в %HOMEPATH%\My Documents\My Music\bdss.exe
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
