Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Net Security Service] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe' -k netsvcss
- '<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost" /v netsvcss /t REG_MULTI_SZ /d "Net Security Service"
- '<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Net Security Service\Parameters" /v ServiceDll /t REG_EXPAND_SZ /d "%PROGRAM_FILES%\Internet Explorer\Connection Wizard\icwnet.dll"
- '<SYSTEM32>\cmd.exe' /c "%PROGRAM_FILES%\Internet Explorer\Connection Wizard\sys.bat"
- '<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Net Security Service" /v Description /t REG_SZ /d "keep watch on system security and configuration.if this services is stopped,protoected content might not be down loaded to the device."
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\Internet Explorer\Connection Wizard\sys.bat
- %PROGRAM_FILES%\Internet Explorer\Connection Wizard\icwnet.dll
Самоудаляется.
