blog.malwarelist.org

Il trojan in analisi si presenta sotto il nome di Gpo.exe

Informazioni Tecniche

Funzionamento

Il file, una volta avviato, si copia nella cartella %TEMP% e si configura modificando il registro per avviarsi in esecuzione automatica. Effettua anche altre modifiche al registro creando le due chiavi sopracitate [VbiH] assegnando una stringa casuale di 76 caratteri e [VbiS] assegnando invece a questa una stringa di addirittura 413 caratteri di lunghezza.

     NOTE:

     %TEMP% = C:\Documents and Settings\{username}\Impostazioni Locali\Temp

     HKCU = HKEY_CURRENT_USER