Техническая информация
Для обеспечения автозапуска и распространения:
Заражает следующие исполняемые файлы:
- %WINDIR%\slash.com
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\ntvdm.exe' -f -i1
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\dllcache\shvlzm.exe.new
- %ProgramFiles%\NetMeeting\conf.exe.new
- <SYSTEM32>\dllcache\rvsezm.exe.new
- %ProgramFiles%\Outlook Express\msimn.exe.new
- <SYSTEM32>\dllcache\zclientm.exe.new
- %ProgramFiles%\NetMeeting\wb32.exe.new
- %ProgramFiles%\NetMeeting\cb32.exe.new
- %ProgramFiles%\MSN Gaming Zone\Windows\shvlzm.exe.new
- %ProgramFiles%\MSN Gaming Zone\Windows\rvsezm.exe.new
- <SYSTEM32>\dllcache\bckgzm.exe.new
- <SYSTEM32>\dllcache\hrtzzm.exe.new
- %ProgramFiles%\MSN Gaming Zone\Windows\zclientm.exe.new
- <SYSTEM32>\dllcache\chkrzm.exe.new
- %ProgramFiles%\Windows Media Player\migrate.exe.new
- %ProgramFiles%\Outlook Express\wabmig.exe.new
- <SYSTEM32>\dllcache\oemig50.exe.new
- %ProgramFiles%\Windows Media Player\mplayer2.exe.new
- <SYSTEM32>\dllcache\wab.exe.new
- <SYSTEM32>\dllcache\setup50.exe.new
- %ProgramFiles%\Outlook Express\wab.exe.new
- %ProgramFiles%\Outlook Express\oemig50.exe.new
- <SYSTEM32>\dllcache\conf.exe.new
- <SYSTEM32>\dllcache\cb32.exe.new
- <SYSTEM32>\dllcache\msimn.exe.new
- <SYSTEM32>\dllcache\wb32.exe.new
- %ProgramFiles%\Outlook Express\setup50.exe.new
- <SYSTEM32>\dllcache\iedw.exe.new
- %ProgramFiles%\Internet Explorer\Connection Wizard\icwconn2.exe.new
- %ProgramFiles%\Internet Explorer\Connection Wizard\icwconn1.exe.new
- %ProgramFiles%\Internet Explorer\Connection Wizard\icwtutor.exe.new
- <SYSTEM32>\dllcache\iexplore.exe.new
- %ProgramFiles%\Internet Explorer\Connection Wizard\icwrmind.exe.new
- %ProgramFiles%\Internet Explorer\iexplore.exe.new
- %WINDIR%\Temp\scs2.tmp
- %WINDIR%\Temp\scs1.tmp
- %WINDIR%\slash.com
- %ProgramFiles%\Internet Explorer\iedw.exe.new
- <SYSTEM32>\dllcache\sapisvr.exe.new
- %CommonProgramFiles%\Microsoft Shared\Speech\sapisvr.exe.new
- <SYSTEM32>\dllcache\moviemk.exe.new
- <SYSTEM32>\dllcache\isignup.exe.new
- <SYSTEM32>\dllcache\inetwiz.exe.new
- %ProgramFiles%\MSN Gaming Zone\Windows\hrtzzm.exe.new
- %ProgramFiles%\MSN Gaming Zone\Windows\chkrzm.exe.new
- %ProgramFiles%\MSN Gaming Zone\Windows\bckgzm.exe.new
- <SYSTEM32>\dllcache\icwtutor.exe.new
- <SYSTEM32>\dllcache\icwconn2.exe.new
- %ProgramFiles%\Internet Explorer\Connection Wizard\inetwiz.exe.new
- <SYSTEM32>\dllcache\icwconn1.exe.new
- %ProgramFiles%\Movie Maker\moviemk.exe.new
- %ProgramFiles%\Internet Explorer\Connection Wizard\isignup.exe.new
- <SYSTEM32>\dllcache\icwrmind.exe.new
Удаляет следующие файлы:
- %WINDIR%\Temp\scs2.tmp
- %WINDIR%\Temp\scs1.tmp
Подменяет следующие исполняемые файлы:
- %ProgramFiles%\MSN Gaming Zone\Windows\shvlzm.exe
- %ProgramFiles%\MSN Gaming Zone\Windows\Rvsezm.exe
- %ProgramFiles%\MSN Gaming Zone\Windows\zClientm.exe
- %ProgramFiles%\NetMeeting\conf.exe
- %ProgramFiles%\NetMeeting\cb32.exe
- %ProgramFiles%\MSN Gaming Zone\Windows\hrtzzm.exe
- %ProgramFiles%\MSN\MSNCoreFiles\Install\MSN9Components\Digcore.exe
- %ProgramFiles%\MSN\MSNCoreFiles\Install\msnsusii.exe
- %ProgramFiles%\MSN\MSNCoreFiles\Install\MSN9Components\Msncli.exe
- %ProgramFiles%\MSN Gaming Zone\Windows\chkrzm.exe
- %ProgramFiles%\MSN Gaming Zone\Windows\bckgzm.exe
- %ProgramFiles%\NetMeeting\wb32.exe
- %ProgramFiles%\Windows Media Player\setup_wm.exe
- %ProgramFiles%\Windows Media Player\mplayer2.exe
- %ProgramFiles%\Windows Media Player\wmplayer.exe
- %ProgramFiles%\Windows NT\hypertrm.exe
- %ProgramFiles%\Windows NT\dialer.exe
- %ProgramFiles%\Windows Media Player\migrate.exe
- %ProgramFiles%\Outlook Express\oemig50.exe
- %ProgramFiles%\Outlook Express\msimn.exe
- %ProgramFiles%\Outlook Express\setup50.exe
- %ProgramFiles%\Outlook Express\wabmig.exe
- %ProgramFiles%\Outlook Express\wab.exe
- %ProgramFiles%\Movie Maker\moviemk.exe
- %ProgramFiles%\FireFox\shlibsign.exe
- %ProgramFiles%\FireFox\plugin-container.exe
- %ProgramFiles%\FireFox\updater.exe
- %ProgramFiles%\FireFox\xpidl.exe
- %ProgramFiles%\FireFox\xpcshell.exe
- %ProgramFiles%\FireFox\nsinstall.exe
- %ProgramFiles%\FireFox\crashreporter.exe
- %CommonProgramFiles%\Microsoft Shared\Speech\sapisvr.exe
- %ProgramFiles%\FireFox\firefox.exe
- %ProgramFiles%\FireFox\mangle.exe
- %ProgramFiles%\FireFox\js.exe
- %ProgramFiles%\FireFox\xpt_dump.exe
- %ProgramFiles%\Internet Explorer\Connection Wizard\icwtutor.exe
- %ProgramFiles%\Internet Explorer\Connection Wizard\icwrmind.exe
- %ProgramFiles%\Internet Explorer\Connection Wizard\inetwiz.exe
- %ProgramFiles%\Messenger\msmsgs.exe
- %ProgramFiles%\Internet Explorer\Connection Wizard\isignup.exe
- %ProgramFiles%\Internet Explorer\Connection Wizard\icwconn2.exe
- %ProgramFiles%\FireFox\uninstall\helper.exe
- %ProgramFiles%\FireFox\xpt_link.exe
- %ProgramFiles%\Internet Explorer\iedw.exe
- %ProgramFiles%\Internet Explorer\Connection Wizard\icwconn1.exe
- %ProgramFiles%\Internet Explorer\IEXPLORE.EXE
Подменяет следующие файлы:
- %WINDIR%\slash.com
- C:\RECYCLER\S-1-5-21-2052111302-484763869-725345543-1003\desktop.ini
Другое:
Ищет следующие окна:
- ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-ba0.ba4.380001'
