Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'windll' = '"%WINDIR%\Help\Explorer.EXE"'
- [<HKLM>\SOFTWARE\Classes\InstallRite File\Shell\Open\Command] '' = '%ALLUSERSPROFILE%\Application Data\account.exe %1'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
Создает и запускает на исполнение:
- %ALLUSERSPROFILE%\Application Data\account.exe
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\Prefetch\HELP.EXE-1E13FA6A.pf
- %WINDIR%\Prefetch\HELP.EXE-002D0D7C.pf
- %WINDIR%\Prefetch\STARRCMD.EXE-102CE1B8.pf
- %WINDIR%\Prefetch\NOTEPAD.EXE-336351A9.pf
- %WINDIR%\Help\see32z.dll
- %WINDIR%\Help\see32u.dll
- %WINDIR%\Prefetch\EXPLORER.EXE-1048FB14.pf
- %WINDIR%\Help\ssys.exe
- %WINDIR%\Prefetch\VERCLSID.EXE-3667BD89.pf
- %TEMP%\2265A.dmp
- <SYSTEM32>\wbem\Repository\FS\ID4.tmp
- %TEMP%\41\iwt_registry.reg
- %TEMP%\41\delreg.lst
- <SYSTEM32>\wbem\Repository\FS\ID1.tmp
- %WINDIR%\Prefetch\WINWORD.EXE-07381162.pf
- <SYSTEM32>\wbem\Repository\FS\ID3.tmp
- <SYSTEM32>\wbem\Repository\FS\ID2.tmp
- %WINDIR%\Help\see32.dll
- %TEMP%\41\Filelist.lst
- %TEMP%\41\ver.txt
- C:\Documents and Settings\Md. Reza Ahmed\Application Data\Microsoft\Office\Recent\intelligent.LNK
- C:\Documents and Settings\Md. Reza Ahmed\Application Data\Microsoft\Office\Recent\index.dat
- <Текущая директория>\account.pdf
- %ALLUSERSPROFILE%\Application Data\account.exe
- %TEMP%\41\kit.opt
- %TEMP%\dw.log
- C:\Documents and Settings\Md. Reza Ahmed\Application Data\Microsoft\Office\Recent\New Microsoft Word Document.LNK
- C:\Documents and Settings\Md. Reza Ahmed\Recent\New Microsoft Word Document.lnk
- C:\Documents and Settings\Md. Reza Ahmed\Recent\intelligent.lnk
- %WINDIR%\Help\Explorer.EXE
- %WINDIR%\Help\explorer.dll
- C:\Documents and Settings\Md. Reza Ahmed\Local Settings\Temp\msohtmlclip1\01\clip_themedata.thmx
- C:\Documents and Settings\Md. Reza Ahmed\Local Settings\Temp\msohtmlclip1\01\clip_colorschememapping.xml
- C:\Documents and Settings\Md. Reza Ahmed\Recent\DD.lnk
- C:\Documents and Settings\Md. Reza Ahmed\Recent\BRAINITS DOMAIN.lnk
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\Help\see32u.dll
- %WINDIR%\Help\see32z.dll
- %WINDIR%\Help\ssys.exe
- %WINDIR%\Help\see32.dll
- C:\Documents and Settings\Md. Reza Ahmed\Application Data\Microsoft\Office\Recent\index.dat
- %WINDIR%\Help\explorer.dll
- %WINDIR%\Help\Explorer.EXE
Удаляет следующие файлы:
- %TEMP%\41\delreg.lst
- %TEMP%\41\iwt_registry.reg
- %ALLUSERSPROFILE%\Application Data\account.exe
- %WINDIR%\Prefetch\TASKMGR.EXE-20256C55.pf
- %TEMP%\41\kit.opt
- %TEMP%\41\ver.txt
- %TEMP%\41\Filelist.lst
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
