Техническая информация
Для обеспечения автозапуска и распространения:
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\jgsd400.dll файлом %TEMP%\C.tmp
- <SYSTEM32>\vfp9t.dll файлом %TEMP%\A.tmp
- <SYSTEM32>\jgsh400.dll файлом %TEMP%\10.tmp
- <SYSTEM32>\libisc.dll файлом %TEMP%\E.tmp
- <SYSTEM32>\libxml2.dll файлом %TEMP%\4.tmp
- <SYSTEM32>\mapistub.dll файлом %TEMP%\2.tmp
- <SYSTEM32>\xpsshhdr.dll файлом %TEMP%\8.tmp
- <SYSTEM32>\ir41_qcx.dll файлом %TEMP%\6.tmp
Модифицирует главную загрузочную запись (MBR).
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\WLXPL.exe \444x
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\WLXPL.exe
- %WINDIR%\udeqp.bcx
- %TEMP%\WLXPhotoLibraryMain.dll
Удаляет следующие файлы:
- %TEMP%\D.tmp
- %TEMP%\B.tmp
- %TEMP%\11.tmp
- %TEMP%\F.tmp
- %TEMP%\5.tmp
- %TEMP%\3.tmp
- %TEMP%\9.tmp
- %TEMP%\7.tmp
Перемещает следующие системные файлы:
- <SYSTEM32>\jgsd400.dll в %TEMP%\D.tmp
- <SYSTEM32>\vfp9t.dll в %TEMP%\B.tmp
- <SYSTEM32>\jgsh400.dll в %TEMP%\11.tmp
- <SYSTEM32>\libisc.dll в %TEMP%\F.tmp
- <SYSTEM32>\libxml2.dll в %TEMP%\5.tmp
- <SYSTEM32>\mapistub.dll в %TEMP%\3.tmp
- <SYSTEM32>\xpsshhdr.dll в %TEMP%\9.tmp
- <SYSTEM32>\ir41_qcx.dll в %TEMP%\7.tmp
Самоперемещается:
- из <Полный путь к вирусу> в %TEMP%\1.tmp
Другое:
Ищет следующие окна:
- ClassName: 'ajfngaajf' WindowName: 'k'
