Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
- [<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'wextract_cleanup0' = 'rundll32.exe <SYSTEM32>\advpack.dll,DelNodeRunDLL32 "%TEMP%\IXP000.TMP\"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'lvccinst' = '"<SYSTEM32>\rundll32.exe" <SYSTEM32>\lvccinst.dll,LVCoInstUnRegister'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\LVPrcSrv] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\LVSrvLauncher] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%CommonProgramFiles%\Logitech\LVMVFM\LVPrcSrv.exe'
- '%CommonProgramFiles%\Logitech\LVMVFM\FltrInst.exe' -u lvmvdrv.sys -lwr -dev 6994AD05-93EF-11D0-A3CC-00A0C9223196 46d 8C1 00 46d 8C2 00 46d 8C3 00 46d 8C5 00 46d 8d7 00 46d 8d8 00 46d 892 00
- '%CommonProgramFiles%\Logitech\LVMVFM\FltrInst.exe' -i lvmvdrv.sys -lwr -class 6BDD1FC6-810F-11D0-BEC7-08002BE2092F
- '%CommonProgramFiles%\Logitech\LVMVFM\LVPrcSrv.exe' -i
- '%TEMP%\IXP000.TMP\InstExec.exe' -i UMVPL
- '%CommonProgramFiles%\Logitech\SrvLnch.exe' -is
- '%CommonProgramFiles%\Logitech\SrvLnch.exe'
Запускает на исполнение:
- '%WINDIR%\regedit.exe' /s "%CommonProgramFiles%\Logitech\LVMVFM\Repository.reg"
- '<SYSTEM32>\regsvr32.exe' /c /s "%CommonProgramFiles%\Logitech\LVMVFM\UMVPLStats.dll"
- '<SYSTEM32>\regsvr32.exe' /c /s "%CommonProgramFiles%\Logitech\LVMVFM\UMVPL.dll"
- '<SYSTEM32>\regsvr32.exe' /c /s "%CommonProgramFiles%\Logitech\LVMVFM\UMVPLPreview.dll"
- '<SYSTEM32>\grpconv.exe' -o
- '<SYSTEM32>\runonce.exe' -r
- '<SYSTEM32>\rundll32.exe' setupapi,InstallHinfSection DefaultInstall 128 %TEMP%\IXP000.TMP\InstUMVPL.inf
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\lvccinst.dll,LVCoInstUnRegister
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\advpack.dll,DelNodeRunDLL32 "%TEMP%\IXP000.TMP\"
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\regsvr32.exe
- %WINDIR%\Explorer.EXE
следующие пользовательские процессы:
- skype.exe
- msnmsgr.exe
Изменения в файловой системе:
Создает следующие файлы:
- <DRIVERS>\SETA.tmp
- <DRIVERS>\SET9.tmp
- <DRIVERS>\SETC.tmp
- <DRIVERS>\SETB.tmp
- <DRIVERS>\SET8.tmp
- %CommonProgramFiles%\Logitech\LVMVFM\SET5.tmp
- %CommonProgramFiles%\Logitech\LVMVFM\SET4.tmp
- <DRIVERS>\SET7.tmp
- %CommonProgramFiles%\Logitech\LVMVFM\SET6.tmp
- %CommonProgramFiles%\Logitech\LVMVFM\SETD.tmp
- <SYSTEM32>\SET16.tmp
- %WINDIR%\inf\SET15.tmp
- %CommonProgramFiles%\Logitech\LVMVFM\FltrInst1.log
- %CommonProgramFiles%\Logitech\srvLnch.log
- %CommonProgramFiles%\Logitech\LVMVFM\SET12.tmp
- %CommonProgramFiles%\Logitech\LVMVFM\SETF.tmp
- %CommonProgramFiles%\Logitech\LVMVFM\SETE.tmp
- %CommonProgramFiles%\Logitech\LVMVFM\SET11.tmp
- %CommonProgramFiles%\Logitech\LVMVFM\SET10.tmp
- %CommonProgramFiles%\Logitech\SET3.tmp
- %TEMP%\IXP000.TMP\LVFeL002.cfg
- %TEMP%\IXP000.TMP\LVMVdrv.sys
- %TEMP%\IXP000.TMP\LVFeL000.cfg
- %TEMP%\IXP000.TMP\LVFeL001.cfg
- %TEMP%\IXP000.TMP\srvlnch.exe
- %TEMP%\IXP000.TMP\InstExec.exe
- %TEMP%\IXP000.TMP\InstUMVPL.inf
- %TEMP%\IXP000.TMP\fltrinst.exe
- %TEMP%\IXP000.TMP\Instexec.ini
- %TEMP%\IXP000.TMP\LVFaL000.cfg
- %TEMP%\IXP000.TMP\LVPrcInj.dll
- %TEMP%\IXP000.TMP\LVPrcSrv.exe
- %WINDIR%\Temp\InstExec.log
- %TEMP%\IXP000.TMP\Repository.reg
- %TEMP%\IXP000.TMP\LVPrcMon.sys
- %TEMP%\IXP000.TMP\UMVPLPreview.dll
- %TEMP%\IXP000.TMP\UMVPL.dll
- %TEMP%\IXP000.TMP\lvccinst.dll
- %TEMP%\IXP000.TMP\UMVPLStats.dll
Удаляет следующие файлы:
- %TEMP%\IXP000.TMP\InstExec.exe
- %TEMP%\IXP000.TMP\fltrinst.exe
Перемещает следующие файлы:
- %CommonProgramFiles%\Logitech\LVMVFM\SETE.tmp в %CommonProgramFiles%\Logitech\LVMVFM\UMVPLPreview.dll
- %CommonProgramFiles%\Logitech\LVMVFM\SETF.tmp в %CommonProgramFiles%\Logitech\LVMVFM\UMVPLStats.dll
- <DRIVERS>\SETC.tmp в <DRIVERS>\LVFeL002.cfg
- %CommonProgramFiles%\Logitech\LVMVFM\SETD.tmp в %CommonProgramFiles%\Logitech\LVMVFM\UMVPL.dll
- %CommonProgramFiles%\Logitech\LVMVFM\SET10.tmp в %CommonProgramFiles%\Logitech\LVMVFM\LVPrcSrv.exe
- %WINDIR%\inf\SET15.tmp в %WINDIR%\inf\InstUMVPL.inf
- <SYSTEM32>\SET16.tmp в <SYSTEM32>\lvccinst.dll
- %CommonProgramFiles%\Logitech\LVMVFM\SET11.tmp в %CommonProgramFiles%\Logitech\LVMVFM\LVPrcInj.dll
- %CommonProgramFiles%\Logitech\LVMVFM\SET12.tmp в %CommonProgramFiles%\Logitech\LVMVFM\Repository.reg
- %CommonProgramFiles%\Logitech\LVMVFM\SET5.tmp в %CommonProgramFiles%\Logitech\LVMVFM\InstExec.exe
- %CommonProgramFiles%\Logitech\LVMVFM\SET6.tmp в %CommonProgramFiles%\Logitech\LVMVFM\Instexec.ini
- %CommonProgramFiles%\Logitech\SET3.tmp в %CommonProgramFiles%\Logitech\SrvLnch.exe
- %CommonProgramFiles%\Logitech\LVMVFM\SET4.tmp в %CommonProgramFiles%\Logitech\LVMVFM\FltrInst.exe
- <DRIVERS>\SET7.tmp в <DRIVERS>\LVPrcMon.sys
- <DRIVERS>\SETA.tmp в <DRIVERS>\LVFeL000.cfg
- <DRIVERS>\SETB.tmp в <DRIVERS>\LVFeL001.cfg
- <DRIVERS>\SET8.tmp в <DRIVERS>\LVMVdrv.sys
- <DRIVERS>\SET9.tmp в <DRIVERS>\LVFaL000.cfg
Другое:
Ищет следующие окна:
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
