Техническая информация
Для обеспечения автозапуска и распространения:
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\jgdw400.dll файлом %TEMP%\19.tmp
- <SYSTEM32>\WindowsCodecs.dll файлом %TEMP%\1B.tmp
- <SYSTEM32>\mfc71u.dll файлом %TEMP%\14.tmp
- <SYSTEM32>\mapistub.dll файлом %TEMP%\17.tmp
- <SYSTEM32>\cliconfg.dll файлом %TEMP%\21.tmp
- <SYSTEM32>\prntvpt.dll файлом %TEMP%\23.tmp
- <SYSTEM32>\xpsshhdr.dll файлом %TEMP%\1D.tmp
- <SYSTEM32>\cliconfg.exe файлом %TEMP%\1F.tmp
- <SYSTEM32>\ir32_32.dll файлом %TEMP%\12.tmp
- <SYSTEM32>\taskman.exe файлом %TEMP%\6.tmp
- <SYSTEM32>\dbnmpntw.dll файлом %TEMP%\8.tmp
- <SYSTEM32>\libmysql.dll файлом %TEMP%\2.tmp
- <SYSTEM32>\liblwres.dll файлом %TEMP%\4.tmp
- <SYSTEM32>\WMPhoto.dll файлом %TEMP%\E.tmp
- <SYSTEM32>\mapi32.dll файлом %TEMP%\10.tmp
- <SYSTEM32>\hypertrm.dll файлом %TEMP%\A.tmp
- <SYSTEM32>\odbcbcp.dll файлом %TEMP%\C.tmp
Модифицирует главную загрузочную запись (MBR).
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\WLXPL.exe \444x
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\WLXPL.exe
- %WINDIR%\udeqp.bcx
- %TEMP%\WLXPhotoLibraryMain.dll
Удаляет следующие файлы:
- %TEMP%\18.tmp
- %TEMP%\1A.tmp
- %TEMP%\15.tmp
- %TEMP%\16.tmp
- %TEMP%\1C.tmp
- %TEMP%\22.tmp
- %TEMP%\24.tmp
- %TEMP%\1E.tmp
- %TEMP%\20.tmp
- %TEMP%\7.tmp
- %TEMP%\9.tmp
- %TEMP%\3.tmp
- %TEMP%\5.tmp
- %TEMP%\B.tmp
- %TEMP%\11.tmp
- %TEMP%\13.tmp
- %TEMP%\D.tmp
- %TEMP%\F.tmp
Перемещает следующие системные файлы:
- <SYSTEM32>\jgdw400.dll в %TEMP%\1A.tmp
- <SYSTEM32>\WindowsCodecs.dll в %TEMP%\1C.tmp
- <SYSTEM32>\mfc71u.dll в %TEMP%\15.tmp
- <SYSTEM32>\mapistub.dll в %TEMP%\18.tmp
- <SYSTEM32>\cliconfg.dll в %TEMP%\22.tmp
- <SYSTEM32>\prntvpt.dll в %TEMP%\24.tmp
- <SYSTEM32>\xpsshhdr.dll в %TEMP%\1E.tmp
- <SYSTEM32>\cliconfg.exe в %TEMP%\20.tmp
- <SYSTEM32>\ir32_32.dll в %TEMP%\13.tmp
- <SYSTEM32>\taskman.exe в %TEMP%\7.tmp
- <SYSTEM32>\dbnmpntw.dll в %TEMP%\9.tmp
- <SYSTEM32>\libmysql.dll в %TEMP%\3.tmp
- <SYSTEM32>\liblwres.dll в %TEMP%\5.tmp
- <SYSTEM32>\WMPhoto.dll в %TEMP%\F.tmp
- <SYSTEM32>\mapi32.dll в %TEMP%\11.tmp
- <SYSTEM32>\hypertrm.dll в %TEMP%\B.tmp
- <SYSTEM32>\odbcbcp.dll в %TEMP%\D.tmp
Самоперемещается:
- из <Полный путь к вирусу> в %TEMP%\1.tmp
