Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\scriptletfile\Shell\Open\command] '' = '"%WINDIR%\NOTEPAD.EXE" "%1"'
- [<HKLM>\SOFTWARE\Classes\PROTOCOLS\Handler\sysimage] 'CLSID' = '{76E67A63-06E9-11D2-A840-006008059382}'
- [<HKLM>\SOFTWARE\Classes\xslfile\shell\Open\command] '' = ''
- [<HKLM>\SOFTWARE\Classes\xmlfile\shell\Open\command] '' = ''
- [<HKLM>\SOFTWARE\Classes\PROTOCOLS\Handler\mailto] 'CLSID' = '{3050f3DA-98B5-11CF-BB82-00AA00BDCE0B}'
- [<HKLM>\SOFTWARE\Classes\PROTOCOLS\Handler\vbscript] 'CLSID' = '{3050F3B2-98B5-11CF-BB82-00AA00BDCE0B}'
- [<HKLM>\SOFTWARE\Classes\PROTOCOLS\Handler\javascript] 'CLSID' = '{3050F3B2-98B5-11CF-BB82-00AA00BDCE0B}'
- [<HKLM>\SOFTWARE\Classes\PROTOCOLS\Handler\res] 'CLSID' = '{3050F3BC-98B5-11CF-BB82-00AA00BDCE0B}'
- [<HKLM>\SOFTWARE\Classes\PROTOCOLS\Handler\about] 'CLSID' = '{3050F406-98B5-11CF-BB82-00AA00BDCE0B}'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\svchost.exe
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\Bloc-notes.exe
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\svchost.exe'
- '%TEMP%\fix_dll.exe'
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' /s Mshtml.dll
- '<SYSTEM32>\regsvr32.exe' /s jscript.dll
- '<SYSTEM32>\regsvr32.exe' /s scrrun.dll
- '<SYSTEM32>\regsvr32.exe' /s mshta.dll
- '<SYSTEM32>\regsvr32.exe' /s atl.dll
- '<SYSTEM32>\regsvr32.exe' /u /s oleaut32.dll
- '<SYSTEM32>\regsvr32.exe' /s dispex.dll
- '<SYSTEM32>\regsvr32.exe' /s corpol.dll
- '<SYSTEM32>\regsvr32.exe' /s ole32.dll
- '<SYSTEM32>\regsvr32.exe' /s msxml3.dll
- '<SYSTEM32>\wscript.exe' /regserver
- '<SYSTEM32>\regsvr32.exe' /s oleaut32.dll
- '<SYSTEM32>\regsvr32.exe' /s vbscript.dll
- '<SYSTEM32>\regsvr32.exe' /s scrobj.dll
- '<SYSTEM32>\regsvr32.exe' /s wshom.ocx
- '<SYSTEM32>\regsvr32.exe' /s wshext.dll
- '<SYSTEM32>\regsvr32.exe' /u /s dispex.dll
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2.tmp" "%TEMP%\vbc1.tmp"
- '<SYSTEM32>\regsvr32.exe' /u /s Mshtml.dll
- '<SYSTEM32>\regsvr32.exe' /u /s jscript.dll
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\o-htanaj.cmdline"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\Fix_dll\fix_dll.cmd" "
- '<SYSTEM32>\regsvr32.exe' /u /s corpol.dll
- '<SYSTEM32>\regsvr32.exe' /u /s atl.dll
- '<SYSTEM32>\regsvr32.exe' /u /s wshom.ocx
- '<SYSTEM32>\regsvr32.exe' /u /s wshext.dll
- '<SYSTEM32>\regsvr32.exe' /u /s ole32.dll
- '<SYSTEM32>\regsvr32.exe' /u /s msxml3.dll
- '<SYSTEM32>\regsvr32.exe' /u /s scrrun.dll
- '<SYSTEM32>\regsvr32.exe' /u /s mshta.dll
- '<SYSTEM32>\regsvr32.exe' /u /s vbscript.dll
- '<SYSTEM32>\regsvr32.exe' /u /s scrobj.dll
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RGIC.tmp
- %TEMP%\RGIB.tmp
- %TEMP%\RGIE.tmp
- %TEMP%\RGID.tmp
- %TEMP%\RGI8.tmp
- %TEMP%\RGI7.tmp
- %TEMP%\RGIA.tmp
- %TEMP%\RGI9.tmp
- %TEMP%\RGI14.tmp
- %TEMP%\RGI13.tmp
- %TEMP%\RGI16.tmp
- %TEMP%\RGI15.tmp
- %TEMP%\RGI10.tmp
- %TEMP%\RGIF.tmp
- %TEMP%\RGI12.tmp
- %TEMP%\RGI11.tmp
- %TEMP%\MSNPSharp.dll
- %TEMP%\iv4u3g.resources
- %TEMP%\o-htanaj.cmdline
- %TEMP%\o-htanaj.0.vb
- %TEMP%\svchost.exe
- %TEMP%\eR.resources
- %TEMP%\Fix_dll\fix_dll.cmd
- %TEMP%\fix_dll.exe
- %TEMP%\RGI4.tmp
- %TEMP%\RGI3.tmp
- %TEMP%\RGI6.tmp
- %TEMP%\RGI5.tmp
- %TEMP%\vbc1.tmp
- %TEMP%\o-htanaj.out
- %TEMP%\o-htanaj.exe
- %TEMP%\RES2.tmp
Удаляет следующие файлы:
- %TEMP%\RGID.tmp
- %TEMP%\RGIE.tmp
- %TEMP%\RGIF.tmp
- %TEMP%\RGIA.tmp
- %TEMP%\RGIB.tmp
- %TEMP%\RGIC.tmp
- %TEMP%\RGI10.tmp
- %TEMP%\RGI14.tmp
- %TEMP%\RGI15.tmp
- %TEMP%\RGI16.tmp
- %TEMP%\RGI11.tmp
- %TEMP%\RGI12.tmp
- %TEMP%\RGI13.tmp
- %TEMP%\o-htanaj.cmdline
- %TEMP%\o-htanaj.0.vb
- %TEMP%\o-htanaj.exe
- %TEMP%\RES2.tmp
- %TEMP%\vbc1.tmp
- %TEMP%\o-htanaj.out
- %TEMP%\RGI3.tmp
- %TEMP%\RGI7.tmp
- %TEMP%\RGI8.tmp
- %TEMP%\RGI9.tmp
- %TEMP%\RGI4.tmp
- %TEMP%\RGI5.tmp
- %TEMP%\RGI6.tmp
Сетевая активность:
Подключается к:
- '17#.#3.169.14':80
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
