Техническая информация
Вредоносные функции:
Устанавливает процедуры перхвата сообщений
о нажатии клавиш клавиатуры:
- Библиотека-обработчик для всех процессов: %TEMP%\RarSFX1\HookDll.dll
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RarSFX0\Uninstall VerbAce-Pro.exe
- %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\%Profile%\Local Settings\History\History.IE5\index.dat-2928.2924.tmp
- %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\%Profile%\Cookies\index.dat
- %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\%Profile%\Cookies\index.dat-2928.2924.tmp
- %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\%Profile%\Local Settings\<INETFILES>\Content.IE5\index.dat
- %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\%Profile%\Local Settings\<INETFILES>\Content.IE5\index.dat-2928.2924.tmp
- %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\40000010100002i\VerbAce-Pro.exe.b5cb60.tmp
- %TEMP%\RarSFX1\ArabEng.dct
- %TEMP%\RarSFX1\VerbAce-Pro.chm
- %TEMP%\RarSFX1\HookDll.dll
- %TEMP%\RarSFX1\VerbAce-Pro.exe
- %TEMP%\RarSFX1\VAInstBroker.exe
- %TEMP%\RarSFX1\##Attributes.ini
- %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\Registry.tvr.backup.b5c
- %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\Registry.rw.tvr
- %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\Registry.rw.tvr.tmp-b60b60
- %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\Registry.rw.lck.CRNJEUFU.ffffffffb60
- %TEMP%\RarSFX0\VerbAce-Pro.exe
- %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\%Profile%\Local Settings\History\History.IE5\index.dat
- <LS_APPDATA>\Microsoft\Internet Explorer\MSIMGSIZ.DAT
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\RarSFX0\Uninstall VerbAce-Pro.exe
- %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\%Profile%\Local Settings\<INETFILES>\Content.IE5\index.dat
- %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\%Profile%\Cookies\index.dat
- %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\%Profile%\Local Settings\History\History.IE5\index.dat
Перемещает следующие файлы:
- %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\Registry.rw.lck.CRNJEUFU.ffffffffb60 в %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\Registry.rw.lck
- %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\Registry.rw.tvr.tmp-b60b60 в %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\Registry.rw.tvr
- %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\Registry.tvr.backup.b5c в %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\Registry.tvr.backup
- %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\40000010100002i\VerbAce-Pro.exe.b5cb60.tmp в %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\40000010100002i\VerbAce-Pro.exe
- %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\%Profile%\Local Settings\<INETFILES>\Content.IE5\index.dat-2928.2924.tmp в %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\%Profile%\Local Settings\<INETFILES>\Content.IE5\index.dat
- %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\%Profile%\Cookies\index.dat-2928.2924.tmp в %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\%Profile%\Cookies\index.dat
- %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\%Profile%\Local Settings\History\History.IE5\index.dat-2928.2924.tmp в %APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\%Profile%\Local Settings\History\History.IE5\index.dat
Другое:
Ищет следующие окна:
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'VerbAcePro2106' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'VAPro2106MicroWin' WindowName: ''
- ClassName: 'Shell Embedding' WindowName: ''
- ClassName: 'Shell DocObject View' WindowName: ''
- ClassName: 'Internet Explorer_Server' WindowName: ''
Создает и запускает на исполнение:
- '%TEMP%\RarSFX0\VerbAce-Pro.exe'
- '%APPDATA%\Thinstall\{633CEDFC-E96A-438B-8CDF-4CD69991026E}\40000010100002i\VerbAce-Pro.exe'
