Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\svchost.exe
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\bloc-notes.exe
Вредоносные функции
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [<HKCU>\SOFTWARE\Ghisler\Total Commander]
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\wuu.resources
- %TEMP%\jxzzpaqe.0.vb
- %TEMP%\whatdafock.txt
- %TEMP%\qfyjtgwcn.resources
- %TEMP%\xk.resources
- %TEMP%\cpb9x28l.exe
- %TEMP%\resf2a5.tmp
- %TEMP%\vbcf294.tmp
- %TEMP%\cpb9x28l.out
- %TEMP%\cpb9x28l.cmdline
- %TEMP%\cpb9x28l.0.vb
- %TEMP%\jxzzpaqe.cmdline
- %TEMP%\msnpsharp.dll
- %TEMP%\$wc0\totalcommander.url
- %TEMP%\$wc0\readme.txt
- %TEMP%\$wc0\liesmich.txt
- %TEMP%\$wc0\install.lng
- %TEMP%\$wc0\install.inf
- %TEMP%\$wc0\install.exe
- %TEMP%\$wc0\install.cab
- %TEMP%\$wc0\file_id.diz
- %TEMP%\svchost.exe
- %TEMP%\tcm851ax32.exe
- %TEMP%\1wh6a.resources
- %TEMP%\jxzzpaqe.out
Удаляет следующие файлы
- %TEMP%\resf2a5.tmp
- %TEMP%\vbcf294.tmp
- %TEMP%\cpb9x28l.out
- %TEMP%\cpb9x28l.exe
- %TEMP%\cpb9x28l.0.vb
- %TEMP%\cpb9x28l.cmdline
Сетевая активность
Подключается к
- '17#.#3.169.14':80
Другое
Создает и запускает на исполнение
- '%TEMP%\tcm851ax32.exe'
- '%TEMP%\svchost.exe'
- '%TEMP%\$wc0\install.exe'
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\cpb9x28l.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF2A5.tmp" "%TEMP%\vbcF294.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\jxzzpaqe.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES35F2.tmp" "%TEMP%\vbc35D2.tmp"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\cpb9x28l.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF2A5.tmp" "%TEMP%\vbcF294.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\jxzzpaqe.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES35F2.tmp" "%TEMP%\vbc35D2.tmp"
