Техническая информация
Для обеспечения автозапуска и распространения:
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\ir41_qc.dll файлом %TEMP%\18.tmp
- <SYSTEM32>\ir32_32.dll файлом %TEMP%\1A.tmp
- <SYSTEM32>\libxml2.dll файлом %TEMP%\14.tmp
- <SYSTEM32>\dbmsrpcn.dll файлом %TEMP%\16.tmp
- <SYSTEM32>\jgaw400.dll файлом %TEMP%\1C.tmp
- <SYSTEM32>\msvbvm50.dll файлом %TEMP%\24.tmp
- <SYSTEM32>\liblwres.dll файлом %TEMP%\26.tmp
- <SYSTEM32>\cliconfg.exe файлом %TEMP%\1E.tmp
- <SYSTEM32>\xpssvcs.dll файлом %TEMP%\20.tmp
- <SYSTEM32>\mapistub.dll файлом %TEMP%\6.tmp
- <SYSTEM32>\libisccfg.dll файлом %TEMP%\8.tmp
- <SYSTEM32>\ir41_qcx.dll файлом %TEMP%\2.tmp
- <SYSTEM32>\WindowsCodecs.dll файлом %TEMP%\4.tmp
- <SYSTEM32>\libmysql.dll файлом %TEMP%\A.tmp
- <SYSTEM32>\prntvpt.dll файлом %TEMP%\10.tmp
- <SYSTEM32>\jgpl400.dll файлом %TEMP%\12.tmp
- <SYSTEM32>\WMPhoto.dll файлом %TEMP%\C.tmp
- <SYSTEM32>\xpsshhdr.dll файлом %TEMP%\E.tmp
Модифицирует главную загрузочную запись (MBR).
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\WLXPL.exe \444x
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\WLXPL.exe
- %WINDIR%\udeqp.bcx
- %TEMP%\WLXPhotoLibraryMain.dll
Удаляет следующие файлы:
- %TEMP%\1D.tmp
- %TEMP%\1F.tmp
- %TEMP%\1B.tmp
- %TEMP%\17.tmp
- %TEMP%\19.tmp
- %TEMP%\25.tmp
- %TEMP%\27.tmp
- %TEMP%\23.tmp
- %TEMP%\21.tmp
- %TEMP%\22.tmp
- %TEMP%\9.tmp
- %TEMP%\B.tmp
- %TEMP%\7.tmp
- %TEMP%\3.tmp
- %TEMP%\5.tmp
- %TEMP%\13.tmp
- %TEMP%\15.tmp
- %TEMP%\11.tmp
- %TEMP%\D.tmp
- %TEMP%\F.tmp
Перемещает следующие системные файлы:
- <SYSTEM32>\ir41_qc.dll в %TEMP%\19.tmp
- <SYSTEM32>\ir32_32.dll в %TEMP%\1B.tmp
- <SYSTEM32>\libxml2.dll в %TEMP%\15.tmp
- <SYSTEM32>\dbmsrpcn.dll в %TEMP%\17.tmp
- <SYSTEM32>\jgaw400.dll в %TEMP%\1D.tmp
- <SYSTEM32>\msvbvm50.dll в %TEMP%\25.tmp
- <SYSTEM32>\liblwres.dll в %TEMP%\27.tmp
- <SYSTEM32>\cliconfg.exe в %TEMP%\1F.tmp
- <SYSTEM32>\xpssvcs.dll в %TEMP%\21.tmp
- <SYSTEM32>\mapistub.dll в %TEMP%\7.tmp
- <SYSTEM32>\libisccfg.dll в %TEMP%\9.tmp
- <SYSTEM32>\ir41_qcx.dll в %TEMP%\3.tmp
- <SYSTEM32>\WindowsCodecs.dll в %TEMP%\5.tmp
- <SYSTEM32>\libmysql.dll в %TEMP%\B.tmp
- <SYSTEM32>\prntvpt.dll в %TEMP%\11.tmp
- <SYSTEM32>\jgpl400.dll в %TEMP%\13.tmp
- <SYSTEM32>\WMPhoto.dll в %TEMP%\D.tmp
- <SYSTEM32>\xpsshhdr.dll в %TEMP%\F.tmp
Самоперемещается:
- из <Полный путь к вирусу> в %TEMP%\1.tmp
