Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\ST4UNST Uninstaller.LNK
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\msvcrt40.dll
- <SYSTEM32>\olepro32.dll
Вредоносные функции:
Запускает на исполнение:
- '%TEMP%\RarSFX0\setup.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RarSFX0\wrng5.wa_
- %TEMP%\RarSFX0\wrng6.wa_
- %TEMP%\RarSFX0\wrng7.wa_
- %TEMP%\RarSFX0\wrng4.wa_
- %TEMP%\RarSFX0\wrng1.wa_
- %TEMP%\RarSFX0\wrng2.wa_
- %TEMP%\RarSFX0\wrng3.wa_
- %TEMP%\RarSFX0\wrng8.wa_
- %TEMP%\RarSFX0\wrng13.wa_
- %TEMP%\RarSFX0\wrng14.wa_
- %TEMP%\RarSFX0\wrng15.wa_
- %TEMP%\RarSFX0\wrng12.wa_
- %TEMP%\RarSFX0\wrng9.wa_
- %TEMP%\RarSFX0\wrng10.wa_
- %TEMP%\RarSFX0\wrng11.wa_
- %TEMP%\RarSFX0\wrng0.wa_
- %TEMP%\RarSFX0\setup.exe
- %TEMP%\RarSFX0\SETUP.LST
- %TEMP%\RarSFX0\signin.wa_
- %TEMP%\RarSFX0\setup132.ex_
- %TEMP%\RarSFX0\olepro32.dl_
- %TEMP%\RarSFX0\release.tx_
- %TEMP%\RarSFX0\report.mi_
- %TEMP%\RarSFX0\SPIN32.OC_
- %TEMP%\RarSFX0\VB40032.DL_
- %TEMP%\RarSFX0\ven2232.ol_
- %TEMP%\RarSFX0\winhlp32.ex_
- %TEMP%\RarSFX0\trophy1.jp_
- %TEMP%\RarSFX0\ST4UNST.EX_
- %TEMP%\RarSFX0\stkit432.dl_
- %TEMP%\RarSFX0\THREED32.OC_
- %TEMP%\RarSFX0\wrng16.wa_
- %TEMP%\RarSFX0\wrng37.wa_
- %TEMP%\RarSFX0\wrng38.wa_
- %WINDIR%\ST4UNST.000
- %TEMP%\RarSFX0\wrng36.wa_
- %TEMP%\RarSFX0\wrng33.wa_
- %TEMP%\RarSFX0\wrng34.wa_
- %TEMP%\RarSFX0\wrng35.wa_
- %WINDIR%\temp.000
- <SYSTEM32>\dllcache\olepro32.dll.new
- <SYSTEM32>\dllcache\msvcrt40.dll.new
- %TEMP%\~DFF35B.tmp
- <SYSTEM32>\msvcrt40.dll.new
- %WINDIR%\SETUP.LST
- <SYSTEM32>\temp.000
- <SYSTEM32>\olepro32.dll.new
- %TEMP%\RarSFX0\wrng32.wa_
- %TEMP%\RarSFX0\wrng21.wa_
- %TEMP%\RarSFX0\wrng22.wa_
- %TEMP%\RarSFX0\wrng23.wa_
- %TEMP%\RarSFX0\wrng20.wa_
- %TEMP%\RarSFX0\wrng17.wa_
- %TEMP%\RarSFX0\wrng18.wa_
- %TEMP%\RarSFX0\wrng19.wa_
- %TEMP%\RarSFX0\wrng24.wa_
- %TEMP%\RarSFX0\wrng29.wa_
- %TEMP%\RarSFX0\wrng30.wa_
- %TEMP%\RarSFX0\wrng31.wa_
- %TEMP%\RarSFX0\wrng28.wa_
- %TEMP%\RarSFX0\wrng25.wa_
- %TEMP%\RarSFX0\wrng26.wa_
- %TEMP%\RarSFX0\wrng27.wa_
- %TEMP%\RarSFX0\kerect15.wa_
- %TEMP%\RarSFX0\kerect16.wa_
- %TEMP%\RarSFX0\kerect17.wa_
- %TEMP%\RarSFX0\kerect14.wa_
- %TEMP%\RarSFX0\kerect11.wa_
- %TEMP%\RarSFX0\kerect12.wa_
- %TEMP%\RarSFX0\kerect13.wa_
- %TEMP%\RarSFX0\kerect18.wa_
- %TEMP%\RarSFX0\kerect23.wa_
- %TEMP%\RarSFX0\kerect24.wa_
- %TEMP%\RarSFX0\kerect25.wa_
- %TEMP%\RarSFX0\kerect22.wa_
- %TEMP%\RarSFX0\kerect19.wa_
- %TEMP%\RarSFX0\kerect20.wa_
- %TEMP%\RarSFX0\kerect21.wa_
- %TEMP%\RarSFX0\kerect10.wa_
- %TEMP%\RarSFX0\introwav.wa_
- %TEMP%\RarSFX0\kerect0.wa_
- %TEMP%\RarSFX0\kerect1.wa_
- %TEMP%\RarSFX0\hall_of.mi_
- %TEMP%\RarSFX0\COMDLG32.OC_
- %TEMP%\RarSFX0\ctl3d32.dl_
- %TEMP%\RarSFX0\file_id.di_
- %TEMP%\RarSFX0\kerect2.wa_
- %TEMP%\RarSFX0\kerect7.wa_
- %TEMP%\RarSFX0\kerect8.wa_
- %TEMP%\RarSFX0\kerect9.wa_
- %TEMP%\RarSFX0\kerect6.wa_
- %TEMP%\RarSFX0\kerect3.wa_
- %TEMP%\RarSFX0\kerect4.wa_
- %TEMP%\RarSFX0\kerect5.wa_
- %TEMP%\RarSFX0\kerect26.wa_
- %TEMP%\RarSFX0\MFC40.DL_
- %TEMP%\RarSFX0\mnugra1.wm_
- %TEMP%\RarSFX0\mnugra2.wm_
- %TEMP%\RarSFX0\mf_wave.se_
- %TEMP%\RarSFX0\MCI32.OC_
- %TEMP%\RarSFX0\mf_data.lo_
- %TEMP%\RarSFX0\mf_wave.de_
- %TEMP%\RarSFX0\mnugra3.wm_
- %TEMP%\RarSFX0\mnugra8.wm_
- %TEMP%\RarSFX0\msvcrt20.dl_
- %TEMP%\RarSFX0\msvcrt40.dl_
- %TEMP%\RarSFX0\mnugra7.wm_
- %TEMP%\RarSFX0\mnugra4.wm_
- %TEMP%\RarSFX0\mnugra5.wm_
- %TEMP%\RarSFX0\mnugra6.wm_
- %TEMP%\RarSFX0\mathfl.se_
- %TEMP%\RarSFX0\kerect31.wa_
- %TEMP%\RarSFX0\kerect32.wa_
- %TEMP%\RarSFX0\kerect33.wa_
- %TEMP%\RarSFX0\kerect30.wa_
- %TEMP%\RarSFX0\kerect27.wa_
- %TEMP%\RarSFX0\kerect28.wa_
- %TEMP%\RarSFX0\kerect29.wa_
- %TEMP%\RarSFX0\kerect34.wa_
- %TEMP%\RarSFX0\mathfl.da_
- %TEMP%\RarSFX0\mathfl.ex_
- %TEMP%\RarSFX0\mathfl.hl_
- %TEMP%\RarSFX0\kerect38.wa_
- %TEMP%\RarSFX0\kerect35.wa_
- %TEMP%\RarSFX0\kerect36.wa_
- %TEMP%\RarSFX0\kerect37.wa_
Удаляет следующие файлы:
- <SYSTEM32>\msvcrt40.dll
- <SYSTEM32>\olepro32.dll
Перемещает следующие файлы:
- <SYSTEM32>\temp.000 в <SYSTEM32>\VB40032.DLL
- <SYSTEM32>\temp.000 в <SYSTEM32>\ven2232.olb
- <SYSTEM32>\olepro32.dll в <SYSTEM32>\olepro32.dll.tmp
- %WINDIR%\temp.000 в %WINDIR%\ST4UNST.EXE
- %WINDIR%\temp.000 в %WINDIR%\setup132.exe
- <SYSTEM32>\temp.000 в <SYSTEM32>\stkit432.dll
Подменяет следующие файлы:
- <SYSTEM32>\temp.000
- %WINDIR%\temp.000
Другое:
Ищет следующие окна:
- ClassName: 'GVBSetupInit' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
