Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe exporer.exe'
Вредоносные функции:
Запускает на исполнение:
- %WINDIR%\regedit.exe -s ""%TEMP%\1k.reg""
- %WINDIR%\regedit.exe -s "%WINDIR%\Registration\CRMLog\www2.reg"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\Патч кор отображения рус шрифтов.$$A
- %TEMP%\1k.$$A
- %WINDIR%\exporer.$$A
- %WINDIR%\Registration\CRMLog\www2.$$A
Удаляет следующие файлы:
- %TEMP%\Патч кор отображения рус шрифтов.exe
Другое:
Ищет следующие окна:
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: 'InstItClass' WindowName: ''
