Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'wextract_cleanup0' = 'rundll32.exe <SYSTEM32>\advpack.dll,DelNodeRunDLL32 "%TEMP%\IXP000.TMP\"'
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\msvbvm60.dll
Заражает следующие исполняемые файлы:
- <SYSTEM32>\SET16.tmp
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\RarSFX0\VBRUN60.EXE'
- '%TEMP%\RarSFX0\vcredist_x86.exe'
Запускает на исполнение:
- '<SYSTEM32>\msiexec.exe' -Embedding 32CF9F17717DDC866E4647DD81C45231
- '<SYSTEM32>\grpconv.exe' -o
- '<SYSTEM32>\msiexec.exe' /V
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\RarSFX0\setup.bat" "
- '<SYSTEM32>\msiexec.exe' /i vcredist.msi
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\IXP000.TMP\asycfilt.dll
- %TEMP%\IXP000.TMP\oleaut32.dll
- %TEMP%\IXP000.TMP\vbrun60.inf
- C:\Config.Msi\1e462.rbs
- %WINDIR%\Installer\MSI5.tmp
- %TEMP%\IXP000.TMP\comcat.dll
- %TEMP%\IXP000.TMP\ADVPACK.DLL
- %TEMP%\IXP000.TMP\msvbvm60.dll
- %TEMP%\IXP000.TMP\olepro32.dll
- %TEMP%\IXP000.TMP\stdole2.tlb
- %TEMP%\RarSFX0\doco.gif
- %TEMP%\RarSFX0\relo.gif
- %TEMP%\RarSFX0\finisho.png
- %TEMP%\RarSFX0\schdo.gif
- %TEMP%\RarSFX0\flowo.png
- %WINDIR%\Installer\MSI1.tmp
- %WINDIR%\Installer\MSI2.tmp
- %WINDIR%\Installer\1e461.ipi
- %TEMP%\IXP000.TMP\vcredist.msi
- %TEMP%\IXP000.TMP\vcredis1.cab
- <SYSTEM32>\SET13.tmp
- %WINDIR%\LastGood\TMP14.tmp
- %WINDIR%\Temp\OLD12.tmp
- <SYSTEM32>\SET10.tmp
- %WINDIR%\LastGood\TMP11.tmp
- %WINDIR%\Temp\OLD18.tmp
- <SYSTEM32>\SET19.tmp
- %WINDIR%\LastGood\TMP17.tmp
- %WINDIR%\Temp\OLD15.tmp
- <SYSTEM32>\SET16.tmp
- %WINDIR%\Temp\OLD9.tmp
- <SYSTEM32>\SETA.tmp
- %WINDIR%\LastGood\TMP8.tmp
- %TEMP%\IXP000.TMP\W95INF32.DLL
- %TEMP%\IXP000.TMP\W95INF16.DLL
- %WINDIR%\LastGood\TMPE.tmp
- %WINDIR%\Temp\OLDF.tmp
- <SYSTEM32>\SETD.tmp
- %WINDIR%\LastGood\TMPB.tmp
- %WINDIR%\Temp\OLDC.tmp
- %TEMP%\RarSFX0\upttasko.gif
- %TEMP%\RarSFX0\vcpane32u.dll
- %TEMP%\RarSFX0\vcprct32u.dll
- %TEMP%\RarSFX0\vcganttd.dll
- %TEMP%\RarSFX0\vcgantt.ini
- %TEMP%\RarSFX0\Vcgantt.ocx
- %TEMP%\RarSFX0\yelloPoint.gif
- %TEMP%\RarSFX0\setup.bat
- %TEMP%\RarSFX0\vxcsv32u.dll
- %TEMP%\RarSFX0\vcredist_x86.exe
- %TEMP%\RarSFX0\vcwin32u.dll
- %TEMP%\RarSFX0\greenPoint.gif
- %TEMP%\RarSFX0\msxml.dll
- %TEMP%\RarSFX0\grayPoint.gif
- %TEMP%\RarSFX0\GanttTask.ocx
- %TEMP%\RarSFX0\gdiplus.dll
- %TEMP%\RarSFX0\VBRUN60.EXE
- %TEMP%\RarSFX0\vcgantt.ifd
- %TEMP%\RarSFX0\redPoint.gif
- %TEMP%\RarSFX0\ObjSafe.tlb
- %TEMP%\RarSFX0\opsaps.dll
- %TEMP%\RarSFX0\finishn.png
- %TEMP%\RarSFX0\projectn.bmp
- %TEMP%\RarSFX0\schedulen.bmp
- %TEMP%\RarSFX0\docn.png
- %TEMP%\RarSFX0\flown.png
- %TEMP%\RarSFX0\statn.gif
- %TEMP%\RarSFX0\infoo.gif
- %TEMP%\RarSFX0\changen.gif
- %TEMP%\RarSFX0\subpn.bmp
- %TEMP%\RarSFX0\taskn.bmp
- %TEMP%\RarSFX0\ganttask.reg
- %TEMP%\RarSFX0\vcgant.reg
- %TEMP%\RarSFX0\msstkprp.dll
- %TEMP%\RarSFX0\mscomct2.ocx
- %TEMP%\RarSFX0\mscomctl.ocx
- %TEMP%\RarSFX0\remark.png
- %TEMP%\RarSFX0\relationn.png
- %TEMP%\RarSFX0\refuse.png
- %TEMP%\RarSFX0\MSFLXGRD.OCX
- %TEMP%\RarSFX0\info.png
Удаляет следующие файлы:
- %TEMP%\IXP000.TMP\W95INF16.DLL
- %TEMP%\IXP000.TMP\W95INF32.DLL
- %TEMP%\IXP000.TMP\ADVPACK.DLL
- %WINDIR%\Temp\OLD9.tmp
- %WINDIR%\Temp\OLD12.tmp
- %WINDIR%\Temp\OLDF.tmp
- %WINDIR%\Temp\OLDC.tmp
- %TEMP%\IXP000.TMP\oleaut32.dll
- %TEMP%\IXP000.TMP\asycfilt.dll
- %TEMP%\IXP000.TMP\vbrun60.inf
- %TEMP%\IXP000.TMP\olepro32.dll
- %TEMP%\IXP000.TMP\comcat.dll
- %TEMP%\IXP000.TMP\msvbvm60.dll
- %TEMP%\IXP000.TMP\stdole2.tlb
- %WINDIR%\Temp\OLD15.tmp
- %WINDIR%\Installer\1e461.ipi
- %TEMP%\IXP000.TMP\vcredis1.cab
- %TEMP%\IXP000.TMP\vcredist.msi
- %WINDIR%\Installer\MSI5.tmp
- %WINDIR%\Installer\MSI1.tmp
- %WINDIR%\Installer\MSI2.tmp
- C:\Config.Msi\1e462.rbs
- <SYSTEM32>\msvbvm60.dll
- <SYSTEM32>\SET19.tmp
- %WINDIR%\Temp\OLD18.tmp
- <SYSTEM32>\SET13.tmp
- <SYSTEM32>\SETA.tmp
- <SYSTEM32>\SETD.tmp
- <SYSTEM32>\SET10.tmp
Перемещает следующие файлы:
- %WINDIR%\LastGood\TMP11.tmp в %WINDIR%\LastGood\system32\STDOLE2.TLB
- %WINDIR%\LastGood\TMP14.tmp в %WINDIR%\LastGood\system32\MSVBVM60.DLL
- %WINDIR%\LastGood\TMP17.tmp в %WINDIR%\LastGood\system32\COMCAT.DLL
- %WINDIR%\LastGood\TMP8.tmp в %WINDIR%\LastGood\system32\OLEAUT32.DLL
- %WINDIR%\LastGood\TMPB.tmp в %WINDIR%\LastGood\system32\OLEPRO32.DLL
- %WINDIR%\LastGood\TMPE.tmp в %WINDIR%\LastGood\system32\ASYCFILT.DLL
Другое:
Ищет следующие окна:
- ClassName: 'EDIT' WindowName: ''
