Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe <SYSTEM32>\cftmon.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- <SYSTEM32>\mscontig.exe
Запускает на исполнение:
- <SYSTEM32>\regsvr32.exe /s MSWINSCK.OCX
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\MSWINSCK.OCX
- <SYSTEM32>\mscontig2.exe
- %WINDIR%\pages.sys
- %WINDIR%\imsin.BAK
- %WINDIR%\fprint.mck
- <SYSTEM32>\st.img
- <SYSTEM32>\ctfmmmm.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\imsin.BAK
Сетевая активность:
Подключается к:
- '67.##5.160.76':25
UDP:
- DNS ASK mx#.##il.yahoo.com
Другое:
Ищет следующие окна:
- ClassName: 'SysListView32' WindowName: ''
- ClassName: '#32770' WindowName: ''
- ClassName: '' WindowName: 'Windows Task Manager'
