Техническая информация
Вредоносные функции:
Внедряет код в
следующие пользовательские процессы:
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'FileMonClass', WindowName: ''
- ClassName: 'RegMonClass', WindowName: ''
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RarSFX0\script\left.htm
- %TEMP%\RarSFX0\skins\misty\dialog.in1
- %TEMP%\RarSFX0\xtvbsbak.dat
- %TEMP%\RarSFX0\unins000.dat
- %TEMP%\RarSFX0\DriverPack.dat
- %TEMP%\RarSFX0\help.chm
- %TEMP%\RarSFX0\skins\SkyFi2\vtrackbarmask.bmp
- %TEMP%\RarSFX0\skins\ProgRed\toolwindow.bmp
- %TEMP%\RarSFX0\skins\misty\toolwindow.bmp
- %TEMP%\RarSFX0\skins\ProgRed\toolactive.bmp
- %TEMP%\RarSFX0\skins\SkyFi2\pwmask.bmp
- %TEMP%\RarSFX0\skins\ProgRed\pwmask.bmp
- %TEMP%\RarSFX0\skins\SkyFi2\pw.bmp
- %TEMP%\RarSFX0\skins\ProgRed\pw.bmp
- %TEMP%\RarSFX0\skins\misty\pw.bmp
- %TEMP%\RarSFX0\skins\SkyFi2\menuitems.bmp
- %TEMP%\RarSFX0\skins\ProgRed\menuitems.bmp
- %TEMP%\RarSFX0\skins\misty\menuitems.bmp
- %TEMP%\RarSFX0\skins\misty\tool.in1
- %TEMP%\RarSFX0\skins\ProgRed\tool.in1
- %TEMP%\RarSFX0\script\_TreeView\ftiens4.js
- %TEMP%\RarSFX0\script\_TreeView\tree.js
- %TEMP%\bt7530.bat
- %TEMP%\RarSFX0\script\_TreeView\ftv2vertline.gif
- %TEMP%\RarSFX0\script\_TreeView\ftv2pnode.gif
- %TEMP%\RarSFX0\script\_TreeView\ftv2plastnode.gif
- %TEMP%\RarSFX0\script\_TreeView\ftv2node.gif
- %TEMP%\RarSFX0\script\_TreeView\ftv2mnode.gif
- %TEMP%\RarSFX0\script\_TreeView\ftv2mlastnode.gif
- %TEMP%\RarSFX0\script\_TreeView\ftv2link.gif
- %TEMP%\RarSFX0\script\_TreeView\ftv2folderopen.gif
- %TEMP%\RarSFX0\script\_TreeView\ftv2lastnode.gif
- %TEMP%\RarSFX0\script\_TreeView\ftv2folderclosed.gif
- %TEMP%\RarSFX0\script\_TreeView\ftv2doc.gif
- %TEMP%\RarSFX0\script\_TreeView\ftv2blank.gif
- %TEMP%\RarSFX0\INT2F.VXD
- %TEMP%\RarSFX0\int13ext.vxd
- %TEMP%\RarSFX0\Unregister.reg
- %TEMP%\RarSFX0\Register.reg
- %TEMP%\RarSFX0\bho.mdb
- <SYSTEM32>\vbxtreg32.dll
- %TEMP%\RarSFX0\skins\ProgRed\mdibg.bmp
- %TEMP%\RarSFX0\skins\SkyFi2\mdibg.bmp
- %TEMP%\RarSFX0\skins\SkyFi2\mask.bmp
- %TEMP%\RarSFX0\xptools.exe
- %TEMP%\RarSFX0\unins000.exe
- %TEMP%\RarSFX0\unins_hw.exe
- %TEMP%\RarSFX0\loader.exe
- %TEMP%\RarSFX0\Exelock.exe
- %TEMP%\RarSFX0\Auto.exe
- %TEMP%\RarSFX0\languages\tr.ini
- %TEMP%\RarSFX0\skins\ProgRed\skin.ini
- %TEMP%\RarSFX0\skins\SkyFi2\skin.ini
- %TEMP%\RarSFX0\skins\misty\skin.ini
- %TEMP%\RarSFX0\languages\sk.ini
- %TEMP%\RarSFX0\recommendtype.ini
- %TEMP%\RarSFX0\languages\hr.ini
- %TEMP%\RarSFX0\languages\fr.ini
- %TEMP%\RarSFX0\filetype.ini
- %TEMP%\RarSFX0\languages\en.ini
- %TEMP%\RarSFX0\languages\de.ini
- %TEMP%\RarSFX0\sugui32.dll
- %TEMP%\RarSFX0\vbxtreg32.dll
- %TEMP%\RarSFX0\zlportio32.sys
- %TEMP%\RarSFX0\skins\misty\active.bmp
- %TEMP%\RarSFX0\skins\ProgRed\main.bmp
- %TEMP%\RarSFX0\skins\SkyFi2\main.bmp
- %TEMP%\RarSFX0\skins\misty\main.bmp
- %TEMP%\RarSFX0\skins\SkyFi2\hwmask.bmp
- %TEMP%\RarSFX0\skins\ProgRed\hwmask.bmp
- %TEMP%\RarSFX0\skins\ProgRed\hw.bmp
- %TEMP%\RarSFX0\skins\misty\hw.bmp
- %TEMP%\RarSFX0\skins\SkyFi2\htrackbarmask.bmp
- %TEMP%\RarSFX0\skins\misty\grids.bmp
- %TEMP%\RarSFX0\skins\SkyFi2\hintwindow.bmp
- %TEMP%\RarSFX0\skins\misty\dialogwindow.bmp
- %TEMP%\RarSFX0\skins\SkyFi2\controls.bmp
- %TEMP%\RarSFX0\skins\ProgRed\controls.bmp
- %TEMP%\RarSFX0\skins\misty\controls.bmp
- %TEMP%\RarSFX0\skins\ProgRed\buttonmask.bmp
- %TEMP%\RarSFX0\skins\SkyFi2\buttonmask.bmp
- %TEMP%\RarSFX0\skins\ProgRed\active.bmp
- %TEMP%\RarSFX0\skins\SkyFi2\active.bmp
- %TEMP%\RarSFX0\skins\ProgRed\mask.bmp
- %TEMP%\3078BDF1.TMP
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\bt7530.bat
Сетевая активность:
Подключается к:
- 'xp##ols.net':80
TCP:
Запросы HTTP GET:
- http://www.xp##ols.net/finduser.php?na########## via xp##ols.net
UDP:
- DNS ASK www.xp##ols.net
Другое:
Ищет следующие окна:
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'RegEdit_RegEdit' WindowName: ''
Создает и запускает на исполнение:
- '%TEMP%\RarSFX0\loader.exe'
- '%TEMP%\RarSFX0\xptools.exe'
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c %TEMP%\bt7530.bat "%TEMP%\RarSFX0\loader.exe"
- '%WINDIR%\regedit.exe' -s Register.reg
