Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %ALLUSERSPROFILE%\Start Menu\Programs\Startup\INIT_PLUG.LNK
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\msvbvm60.dll
Вредоносные функции:
Запускает на исполнение:
- '%TEMP%\GLJ2.tmp' <SYSTEM32>\comctl32.ocx
- '%TEMP%\GLJ2.tmp' <SYSTEM32>\MSWINSCK.OCX
- '%TEMP%\GLJ2.tmp' <SYSTEM32>\wsock32.dll
- '%TEMP%\GLJ2.tmp' <SYSTEM32>\Msvbvm60.dll
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\RarSFX0\CF_Install_AUTO.bat" "
- '%TEMP%\RarSFX0\PluginPE+PI_5.2.52_OCX_CIEGO.EXE' /M="CORREOS_Plugin_PRO.CFG"
- 'C:\plugin_PE\taskkill.exe' /f /im VisualPlugin.exe
Изменения в файловой системе:
Создает следующие файлы:
- C:\plugin_PE\~GLH003e.TMP
- C:\plugin_PE\~GLH003f.TMP
- C:\plugin_PE\~GLH0040.TMP
- C:\plugin_PE\~GLH003b.TMP
- C:\plugin_PE\~GLH003c.TMP
- C:\plugin_PE\~GLH003d.TMP
- C:\plugin_PE\~GLH0041.TMP
- C:\plugin_PE\data\AllUsers\~GLH0045.TMP
- C:\plugin_PE\data\AllUsers\~GLH0046.TMP
- C:\plugin_PE\data\AllUsers\~GLH0047.TMP
- C:\plugin_PE\~GLH0042.TMP
- C:\plugin_PE\~GLH0043.TMP
- C:\plugin_PE\data\AllUsers\~GLH0044.TMP
- C:\plugin_PE\~GLH003a.TMP
- C:\plugin_PE\data\~GLH0030.TMP
- C:\plugin_PE\data\~GLH0031.TMP
- C:\plugin_PE\~GLH0032.TMP
- C:\plugin_PE\data\~GLH002d.TMP
- C:\plugin_PE\data\~GLH002e.TMP
- C:\plugin_PE\data\~GLH002f.TMP
- C:\plugin_PE\~GLH0033.TMP
- C:\plugin_PE\~GLH0037.TMP
- C:\plugin_PE\~GLH0038.TMP
- C:\plugin_PE\~GLH0039.TMP
- C:\plugin_PE\~GLH0034.TMP
- C:\plugin_PE\~GLH0035.TMP
- C:\plugin_PE\~GLH0036.TMP
- C:\plugin_PE\data\AllUsers\~GLH0048.TMP
- C:\plugin_PE\~GLH005a.TMP
- C:\plugin_PE\~GLH005b.TMP
- C:\plugin_PE\~GLH005c.TMP
- C:\plugin_PE\data\VisualTX\DEFAULT_TEMPLATE\~GLH0057.TMP
- C:\plugin_PE\data\VisualTX\DEFAULT_TEMPLATE\~GLH0058.TMP
- C:\plugin_PE\data\VisualTX\DEFAULT_TEMPLATE\~GLH0059.TMP
- C:\plugin_PE\~GLH005d.TMP
- C:\plugin_PE\~GLH0061.TMP
- C:\plugin_PE\data\~GLH0062.TMP
- C:\plugin_PE\~GLH0063.TMP
- C:\plugin_PE\~GLH005e.TMP
- C:\plugin_PE\~GLH005f.TMP
- C:\plugin_PE\~GLH0060.TMP
- C:\plugin_PE\data\VisualTX\INS_TAXFREE\~GLH0056.TMP
- C:\plugin_PE\~GLH004c.TMP
- C:\plugin_PE\~GLH004d.TMP
- C:\plugin_PE\~GLH004e.TMP
- C:\plugin_PE\data\AllUsers\~GLH0049.TMP
- C:\plugin_PE\data\AllUsers\~GLH004a.TMP
- C:\plugin_PE\~GLH004b.TMP
- C:\plugin_PE\~GLH004f.TMP
- C:\plugin_PE\~GLH0053.TMP
- C:\plugin_PE\data\VisualTX\INS_TAXFREE\~GLH0054.TMP
- C:\plugin_PE\data\VisualTX\INS_TAXFREE\~GLH0055.TMP
- C:\plugin_PE\~GLH0050.TMP
- C:\plugin_PE\~GLH0051.TMP
- C:\plugin_PE\~GLH0052.TMP
- C:\plugin_PE\data\Visual\DEFAULT_TEMPLATE\~GLH0005.TMP
- C:\plugin_PE\data\Visual\DEFAULT_TEMPLATE\~GLH0006.TMP
- C:\plugin_PE\data\Visual\DEFAULT_TEMPLATE\~GLH0007.TMP
- C:\plugin_PE\data\Visual\CORREOS\~GLH0002.TMP
- C:\plugin_PE\data\Visual\CORREOS\~GLH0003.TMP
- C:\plugin_PE\data\Visual\CORREOS\~GLH0004.TMP
- C:\plugin_PE\data\Visual\DEFAULT_TEMPLATE\~GLH0008.TMP
- C:\plugin_PE\~GLH000c.TMP
- C:\plugin_PE\~GLBS383.TMP
- <SYSTEM32>\~GLH000d.TMP
- C:\plugin_PE\~GLH0009.TMP
- C:\plugin_PE\~GLH000a.TMP
- C:\plugin_PE\~GLH000b.TMP
- C:\plugin_PE\~GLH0001.TMP
- %TEMP%\RarSFX0\CORREOS_Citrix_Common.exe
- %TEMP%\RarSFX0\CORREOS_CF_AutoConfig.bat
- %TEMP%\RarSFX0\GetCODIRED.bat
- %TEMP%\RarSFX0\CORREOS_VP_Customizacion.exe
- %TEMP%\RarSFX0\getip.bat
- %TEMP%\RarSFX0\Oficinas.txt
- %TEMP%\RarSFX0\INIT_PLUG.bat
- %TEMP%\RarSFX0\CF_Install_AUTO.BAT
- %TEMP%\RarSFX0\CORREOS_CF_InitScript.bat
- %TEMP%\RarSFX0\CORREOS_Citrix_Data.exe
- %TEMP%\RarSFX0\PluginPE+PI_5.2.52_OCX_CIEGO.EXE
- %TEMP%\RarSFX0\CORREOS_Plugin_PRO.CFG
- %TEMP%\RarSFX0\CORREOS_VisualPlugin_Citrix.CFG
- <SYSTEM32>\~GLH000e.TMP
- C:\plugin_PE\data\~GLH0023.TMP
- C:\plugin_PE\data\~GLH0024.TMP
- C:\plugin_PE\data\~GLH0025.TMP
- C:\plugin_PE\data\~GLH0020.TMP
- C:\plugin_PE\data\~GLH0021.TMP
- C:\plugin_PE\data\~GLH0022.TMP
- C:\plugin_PE\data\~GLH0026.TMP
- C:\plugin_PE\data\~GLH002a.TMP
- C:\plugin_PE\data\~GLH002b.TMP
- C:\plugin_PE\data\~GLH002c.TMP
- C:\plugin_PE\data\~GLH0027.TMP
- C:\plugin_PE\data\~GLH0028.TMP
- C:\plugin_PE\data\~GLH0029.TMP
- C:\plugin_PE\data\~GLH001f.TMP
- <SYSTEM32>\~GLH0012.TMP
- <SYSTEM32>\~GLH0014.TMP
- <SYSTEM32>\~GLH0016.TMP
- <SYSTEM32>\~GLH000f.TMP
- <SYSTEM32>\temp.000
- <SYSTEM32>\~GLH0011.TMP
- C:\plugin_PE\~GLH0018.TMP
- C:\plugin_PE\data\~GLH001c.TMP
- C:\plugin_PE\data\~GLH001d.TMP
- C:\plugin_PE\data\~GLH001e.TMP
- C:\plugin_PE\~GLH0019.TMP
- C:\plugin_PE\~GLH001a.TMP
- C:\plugin_PE\~GLH001b.TMP
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\plugin_PE\cf.clv
Удаляет следующие файлы:
- C:\plugin_PE\CFPE_Off.dll
- <SYSTEM32>\~GLH0016.TMP
- C:\plugin_PE\Weta.ocx
- C:\plugin_PE\data\ConfigTaxFree.xml
- <SYSTEM32>\~GLH0014.TMP
- <SYSTEM32>\msvbvm60.dll
- C:\plugin_PE\unwise.ini
- <SYSTEM32>\~GLH0012.TMP
- <SYSTEM32>\~GLH000f.TMP
Перемещает следующие файлы:
- C:\plugin_PE\~GLH0042.TMP в C:\plugin_PE\Weta.ocx
- C:\plugin_PE\~GLH0043.TMP в C:\plugin_PE\cf.clv
- C:\plugin_PE\~GLH0041.TMP в C:\plugin_PE\CFPEWeta.dll
- C:\plugin_PE\~GLH003f.TMP в C:\plugin_PE\PUPEmv.dll
- C:\plugin_PE\~GLH0040.TMP в C:\plugin_PE\CriptoFlow.dll
- C:\plugin_PE\data\AllUsers\~GLH0044.TMP в C:\plugin_PE\data\AllUsers\TAPPLPI.TXT
- C:\plugin_PE\data\AllUsers\~GLH0048.TMP в C:\plugin_PE\data\AllUsers\TPARAEMV.txt
- C:\plugin_PE\data\AllUsers\~GLH0049.TMP в C:\plugin_PE\data\AllUsers\TAIDC.txt
- C:\plugin_PE\data\AllUsers\~GLH0047.TMP в C:\plugin_PE\data\AllUsers\TCLAVEMV.txt
- C:\plugin_PE\data\AllUsers\~GLH0045.TMP в C:\plugin_PE\data\AllUsers\TTERM.txt
- C:\plugin_PE\data\AllUsers\~GLH0046.TMP в C:\plugin_PE\data\AllUsers\TAID.txt
- C:\plugin_PE\~GLH003e.TMP в C:\plugin_PE\PDFTlkt.dll
- C:\plugin_PE\~GLH0035.TMP в C:\plugin_PE\CFPFDSrv.dll
- C:\plugin_PE\~GLH0036.TMP в C:\plugin_PE\CFMsgSvr.dll
- C:\plugin_PE\~GLH0034.TMP в C:\plugin_PE\CFP_Emv.dll
- C:\plugin_PE\~GLH0032.TMP в C:\plugin_PE\CFPWL_01.dll
- C:\plugin_PE\~GLH0033.TMP в C:\plugin_PE\CFPMifare_01.dll
- C:\plugin_PE\~GLH0037.TMP в C:\plugin_PE\CFP_Audi.dll
- C:\plugin_PE\~GLH003b.TMP в C:\plugin_PE\CFP_Prox.dll
- C:\plugin_PE\~GLH003d.TMP в C:\plugin_PE\cximagecrt.dll
- C:\plugin_PE\~GLH003a.TMP в C:\plugin_PE\CFP_Dev.dll
- C:\plugin_PE\~GLH0038.TMP в C:\plugin_PE\CFP_Comm.dll
- C:\plugin_PE\~GLH0039.TMP в C:\plugin_PE\CFP_Data.dll
- C:\plugin_PE\data\AllUsers\~GLH004a.TMP в C:\plugin_PE\data\AllUsers\TPARAEMVC.txt
- C:\plugin_PE\~GLH005a.TMP в C:\plugin_PE\CFPTX_ADM.exe
- C:\plugin_PE\~GLH005b.TMP в C:\plugin_PE\CFPTAXFR.dll
- C:\plugin_PE\data\VisualTX\DEFAULT_TEMPLATE\~GLH0059.TMP в C:\plugin_PE\data\VisualTX\DEFAULT_TEMPLATE\logo.gif
- C:\plugin_PE\data\VisualTX\DEFAULT_TEMPLATE\~GLH0057.TMP в C:\plugin_PE\data\VisualTX\DEFAULT_TEMPLATE\VisualTX.ini
- C:\plugin_PE\data\VisualTX\DEFAULT_TEMPLATE\~GLH0058.TMP в C:\plugin_PE\data\VisualTX\DEFAULT_TEMPLATE\fondo.jpg
- C:\plugin_PE\~GLH005c.TMP в C:\plugin_PE\CFPTX01.ocx
- C:\plugin_PE\~GLH0060.TMP в C:\plugin_PE\AxInterop.MSWinsockLib.dll
- C:\plugin_PE\~GLH0061.TMP в C:\plugin_PE\Interop.MSWinsockLib.dll
- C:\plugin_PE\~GLH005f.TMP в C:\plugin_PE\Interop.CFPTXOCXLib.dll
- C:\plugin_PE\~GLH005d.TMP в C:\plugin_PE\VisualPluginTX.exe
- C:\plugin_PE\~GLH005e.TMP в C:\plugin_PE\AxInterop.CFPTXOCXLib.dll
- C:\plugin_PE\data\VisualTX\INS_TAXFREE\~GLH0056.TMP в C:\plugin_PE\data\VisualTX\INS_TAXFREE\logo.gif
- C:\plugin_PE\~GLH004e.TMP в C:\plugin_PE\CFPG_Updater.exe
- C:\plugin_PE\~GLH004f.TMP в C:\plugin_PE\VisualPlugin.exe
- C:\plugin_PE\~GLH004d.TMP в C:\plugin_PE\CFFirmUpdater.exe
- C:\plugin_PE\~GLH004b.TMP в C:\plugin_PE\CFPEJava.dll
- C:\plugin_PE\~GLH004c.TMP в C:\plugin_PE\CFPEJAVA.jar
- C:\plugin_PE\~GLH0050.TMP в C:\plugin_PE\VPConfig.exe
- C:\plugin_PE\data\VisualTX\INS_TAXFREE\~GLH0054.TMP в C:\plugin_PE\data\VisualTX\INS_TAXFREE\VisualTX.ini
- C:\plugin_PE\data\VisualTX\INS_TAXFREE\~GLH0055.TMP в C:\plugin_PE\data\VisualTX\INS_TAXFREE\fondo.jpg
- C:\plugin_PE\~GLH0053.TMP в C:\plugin_PE\VisualPluginBK.exe
- C:\plugin_PE\~GLH0051.TMP в C:\plugin_PE\VisualTicket.exe
- C:\plugin_PE\~GLH0052.TMP в C:\plugin_PE\OperDoc.exe
- <SYSTEM32>\temp.000 в <SYSTEM32>\~GLH0013.TMP
- <SYSTEM32>\~GLH0013.TMP в <SYSTEM32>\richtx32.ocx
- <SYSTEM32>\~GLH0010.TMP в <SYSTEM32>\MSWINSCK.OCX
- <SYSTEM32>\~GLH000e.TMP в <SYSTEM32>\comctl32.ocx
- <SYSTEM32>\temp.000 в <SYSTEM32>\~GLH0010.TMP
- <SYSTEM32>\temp.000 в <SYSTEM32>\~GLH0015.TMP
- C:\plugin_PE\~GLH0018.TMP в C:\plugin_PE\CFPG_ADM.exe
- C:\plugin_PE\~GLH0019.TMP в C:\plugin_PE\CFPlugin_TversionModify.exe
- <SYSTEM32>\~GLH0017.TMP в <SYSTEM32>\MSCOMCT2.OCX
- <SYSTEM32>\~GLH0015.TMP в <SYSTEM32>\MSCOMCTL.OCX
- <SYSTEM32>\temp.000 в <SYSTEM32>\~GLH0017.TMP
- C:\plugin_PE\~GLH000c.TMP в C:\plugin_PE\unwise.ini
- C:\plugin_PE\data\Visual\CORREOS\~GLH0004.TMP в C:\plugin_PE\data\Visual\CORREOS\botonera.jpg
- C:\plugin_PE\data\Visual\DEFAULT_TEMPLATE\~GLH0005.TMP в C:\plugin_PE\data\Visual\DEFAULT_TEMPLATE\VisualPG.ini
- C:\plugin_PE\data\Visual\CORREOS\~GLH0003.TMP в C:\plugin_PE\data\Visual\CORREOS\fondo.jpg
- C:\plugin_PE\~GLH0001.TMP в C:\plugin_PE\taskkill.exe
- C:\plugin_PE\data\Visual\CORREOS\~GLH0002.TMP в C:\plugin_PE\data\Visual\CORREOS\VisualPG.ini
- C:\plugin_PE\data\Visual\DEFAULT_TEMPLATE\~GLH0006.TMP в C:\plugin_PE\data\Visual\DEFAULT_TEMPLATE\fondo.jpg
- C:\plugin_PE\~GLH000a.TMP в C:\plugin_PE\CFPG_ADM_STOP.exe
- C:\plugin_PE\~GLH000b.TMP в C:\plugin_PE\unwise.exe
- C:\plugin_PE\~GLH0009.TMP в C:\plugin_PE\uninstall_CFPG_ADM.EXE
- C:\plugin_PE\data\Visual\DEFAULT_TEMPLATE\~GLH0007.TMP в C:\plugin_PE\data\Visual\DEFAULT_TEMPLATE\botonera.jpg
- C:\plugin_PE\data\Visual\DEFAULT_TEMPLATE\~GLH0008.TMP в C:\plugin_PE\data\Visual\DEFAULT_TEMPLATE\logo.gif
- C:\plugin_PE\~GLH001a.TMP в C:\plugin_PE\INIT_PLUG.bat
- C:\plugin_PE\data\~GLH002a.TMP в C:\plugin_PE\data\voucher_ca.xml
- C:\plugin_PE\data\~GLH002b.TMP в C:\plugin_PE\data\voucher_es.xml
- C:\plugin_PE\data\~GLH0029.TMP в C:\plugin_PE\data\ticket_pt.xml
- C:\plugin_PE\data\~GLH0027.TMP в C:\plugin_PE\data\ticket_eu.xml
- C:\plugin_PE\data\~GLH0028.TMP в C:\plugin_PE\data\ticket_gl.xml
- C:\plugin_PE\data\~GLH002c.TMP в C:\plugin_PE\data\voucher_es_ca.xml
- C:\plugin_PE\data\~GLH0030.TMP в C:\plugin_PE\data\voucher_gl.xml
- C:\plugin_PE\data\~GLH0031.TMP в C:\plugin_PE\data\voucher_pt.xml
- C:\plugin_PE\data\~GLH002f.TMP в C:\plugin_PE\data\voucher_eu.xml
- C:\plugin_PE\data\~GLH002d.TMP в C:\plugin_PE\data\voucher_es_eu.xml
- C:\plugin_PE\data\~GLH002e.TMP в C:\plugin_PE\data\voucher_es_gl.xml
- C:\plugin_PE\data\~GLH0026.TMP в C:\plugin_PE\data\ticket_es_gl.xml
- C:\plugin_PE\data\~GLH001e.TMP в C:\plugin_PE\data\msgpi.ini
- C:\plugin_PE\data\~GLH001f.TMP в C:\plugin_PE\data\pinpad.ini
- C:\plugin_PE\data\~GLH001d.TMP в C:\plugin_PE\data\msgwt.ini
- C:\plugin_PE\~GLH001b.TMP в C:\plugin_PE\CFPE_Off.dll
- C:\plugin_PE\data\~GLH001c.TMP в C:\plugin_PE\data\msgpe.ini
- C:\plugin_PE\data\~GLH0020.TMP в C:\plugin_PE\data\ConfigTaxFree.xml
- C:\plugin_PE\data\~GLH0024.TMP в C:\plugin_PE\data\ticket_es_ca.xml
- C:\plugin_PE\data\~GLH0025.TMP в C:\plugin_PE\data\ticket_es_eu.xml
- C:\plugin_PE\data\~GLH0023.TMP в C:\plugin_PE\data\ticket_es.xml
- C:\plugin_PE\data\~GLH0021.TMP в C:\plugin_PE\data\ticketdcc_es.xml
- C:\plugin_PE\data\~GLH0022.TMP в C:\plugin_PE\data\ticket_ca.xml
Подменяет следующие файлы:
- C:\plugin_PE\CFPE_Off.dll
- C:\plugin_PE\data\ConfigTaxFree.xml
- C:\plugin_PE\Weta.ocx
- C:\plugin_PE\unwise.ini
- C:\plugin_PE\~GLBS383.TMP
- <SYSTEM32>\temp.000
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
