Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\winxzip\winzip.exe'
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'PROCMON_WINDOW_CLASS' WindowName: '(null)'
- ClassName: 'RegMonClass' WindowName: '(null)'
- ClassName: 'FileMonClass' WindowName: '(null)'
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\winxzip\winrar
- %APPDATA%\winxzip\winrarview
- %TEMP%\nsm3.tmp\turuka.png.patchFile
- %APPDATA%\winxzip\scroll.css
- %APPDATA%\winxzip\sb-scroll-slider.png
- %APPDATA%\winxzip\sb-v-scroll-next.png
- %APPDATA%\winxzip\sb-v-scroll-prev.png
- %TEMP%\nsm3.tmp\VPatch.dll
- %APPDATA%\winxzip\turbandor.png
- %TEMP%\nsm3.tmp\System.dll
- %ALLUSERSPROFILE%\Application Data\TEMP:BF14D50A
- %TEMP%\nsm3.tmp\turbandor.png.patchFile
- %APPDATA%\winxzip\turuka.png
- %TEMP%\nsm3.tmp\turtumsa.png.patchFile
- %APPDATA%\winxzip\turtumsa.png
- %APPDATA%\winxzip\aview
- %APPDATA%\winxzip\dir.png
- %APPDATA%\winxzip\dot.gif
- %APPDATA%\winxzip\after.png
- %TEMP%\nse2.tmp
- %APPDATA%\winxzip\MyriadWebPro-Condensed.ttf
- %APPDATA%\winxzip\a
- %APPDATA%\winxzip\htmlayout.dll
- %APPDATA%\winxzip\sb-h-scroll-prev.png
- %APPDATA%\winxzip\sb-scroll-back.png
- %APPDATA%\winxzip\sb-scroll-base.png
- %APPDATA%\winxzip\sb-h-scroll-next.png
- %APPDATA%\winxzip\logo.png
- %APPDATA%\winxzip\logo2.png
- %APPDATA%\winxzip\rules.css
Удаляет следующие файлы:
- %TEMP%\nsm3.tmp\turbandor.png.patchFile
- %APPDATA%\winxzip\a.htm
- %TEMP%\nsm3.tmp\VPatch.dll
- %TEMP%\nsm3.tmp\System.dll
- %TEMP%\nsm3.tmp\turuka.png.patchFile
- %APPDATA%\winxzip\winzip.exe
- %TEMP%\nsm3.tmp\turtumsa.png.patchFile
- %APPDATA%\winxzip\winrarview.exe
Перемещает следующие файлы:
- %APPDATA%\winxzip\turuka.png в %APPDATA%\winxzip\winzip.exe
- %APPDATA%\winxzip\turtumsa.png в %APPDATA%\winxzip\winrarview.exe
- %APPDATA%\winxzip\turbandor.png в %APPDATA%\winxzip\a.htm
- %APPDATA%\winxzip\winrarview в %APPDATA%\winxzip\winrarview.exe
- %APPDATA%\winxzip\winrar в %APPDATA%\winxzip\winzip.exe
- %APPDATA%\winxzip\a в %APPDATA%\winxzip\a.htm
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
