Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'updatesyswin' = '<SYSTEM32>\updatesysw1n.com'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'updatesyswin' = '<SYSTEM32>\updatesysw1n.com'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'nabilah' = '%WINDIR%\n4b1l4h_jkt48.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'heavy_rotation' = '<SYSTEM32>\heavy_rotation.scr'
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\Nabilah Ratna Ayu Azalia.exe
- <Имя диска съемного носителя>:\autorun.inf
- <Имя диска съемного носителя>:\ayuchin.exe
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\updatesysw1n.com'
- '<SYSTEM32>\heavy_rotation.scr'
- '%WINDIR%\n4b1l4h_jkt48.exe'
Изменяет следующие настройки проводника Windows (Windows Explorer):
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer] 'NoFolderOptions' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFolderOptions' = '00000001'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\heavy_rotation.scr
- <SYSTEM32>\updatesysw1n.com
- %WINDIR%\n4b1l4h_jkt48.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <Имя диска съемного носителя>:\ayuchin.exe
- <Имя диска съемного носителя>:\autorun.inf
- <SYSTEM32>\updatesysw1n.com
- %WINDIR%\n4b1l4h_jkt48.exe
- <SYSTEM32>\heavy_rotation.scr
Удаляет следующие файлы:
- %TEMP%\~DF1E67.tmp
- %TEMP%\~DF6527.tmp
- %TEMP%\~DF6C8E.tmp
- %TEMP%\~DF80B1.tmp
- %TEMP%\~DF6E2E.tmp
- %TEMP%\~DF3D8C.tmp
- %TEMP%\~DF2CC7.tmp
- %TEMP%\~DF45B0.tmp
- %TEMP%\~DF5A62.tmp
- %TEMP%\~DF57B1.tmp
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
