Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%WINDIR%\mailpv.exe' /shtml mailpv.html
- '%WINDIR%\OperaPassView.exe' /shtml OperaPassView.html
- '%WINDIR%\PasswordFox.exe' /shtml PasswordFox.html
- '%WINDIR%\ChromePass.exe' /shtml ChromePass.html
- '%WINDIR%\Dialupass.exe' /shtml Dialupass.html
- '%WINDIR%\iepv.exe' /shtml iepv.html
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c "%WINDIR%\Password viewer.bat"
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\Software\Yahoo\Pager]
- [<HKCU>\Software\Microsoft\IdentityCRL]
- [<HKCU>\Software\Microsoft\MessengerService]
- [<HKCU>\Software\Google\Google Talk\Accounts]
- [<HKCU>\Software\Microsoft\MSNMessenger]
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\Password viewer.bat
- <Текущая директория>\ChromePass.html
- %TEMP%\aut7.tmp
- %TEMP%\aut6.tmp
- %WINDIR%\PasswordFox.exe
- <Текущая директория>\mailpv.html
- <Текущая директория>\iepv.html
- <Текущая директория>\PasswordFox.html
- <Текущая директория>\OperaPassView.html
- <Текущая директория>\Dialupass.html
- %WINDIR%\Dialupass.exe
- %TEMP%\aut3.tmp
- %TEMP%\aut2.tmp
- %TEMP%\aut1.tmp
- %WINDIR%\mailpv.exe
- %TEMP%\aut5.tmp
- %WINDIR%\ChromePass.exe
- %WINDIR%\OperaPassView.exe
- %WINDIR%\iepv.exe
- %TEMP%\aut4.tmp
Удаляет следующие файлы:
- %WINDIR%\iepv.exe
- %WINDIR%\Dialupass.exe
- %WINDIR%\mailpv.exe
- %WINDIR%\OperaPassView.exe
- %WINDIR%\Password viewer.bat
- %WINDIR%\PasswordFox.exe
- %WINDIR%\ChromePass.exe
- %TEMP%\aut3.tmp
- %TEMP%\aut2.tmp
- %TEMP%\aut1.tmp
- %TEMP%\aut4.tmp
- %TEMP%\aut7.tmp
- %TEMP%\aut6.tmp
- %TEMP%\aut5.tmp
