Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '' = '%APPDATA%\.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\filename.vbs
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [<HKCU>\Software\Google\Google Talk\Accounts]
- [<HKLM>\SOFTWARE\Wow6432Node\TuneUp\Utilities\6.0]
- [<HKCU>\Software\RIT\The Bat!]
- [<HKLM>\SOFTWARE\Wow6432Node\TechSmith\SnagIt\8]
- [<HKCU>\Software\TechSmith\SnagIt\8]
- [<HKLM>\SOFTWARE\Wow6432Node\TechSmith\Camtasia Studio\4.0]
- [<HKLM>\SOFTWARE\Wow6432Node\PowerQuest\PartitionMagic\8.0\UserInfo]
- [<HKLM>\SOFTWARE\Wow6432Node\O&O\O&O Defrag\8.0\Pro\licenses]
- [<HKLM>\SOFTWARE\Wow6432Node\Nero\Installation\Families\Nero 8\Info]
- [<HKLM>\SOFTWARE\Wow6432Node\Ahead\Installation\Families\Nero 7\Info]
- [<HKLM>\SOFTWARE\Wow6432Node\Macromedia\Flash\7\Registration]
- [<HKLM>\SOFTWARE\Wow6432Node\Macromedia\Fireworks\7\Registration]
- [<HKLM>\SOFTWARE\Wow6432Node\TuneUp\Utilities\8.0]
- [<HKLM>\SOFTWARE\Wow6432Node\Macromedia\Dreamweaver\7\Registration]
- [<HKLM>\SOFTWARE\Wow6432Node\Elcom\Advanced PDF Password Recovery\Registration]
- [<HKLM>\SOFTWARE\Wow6432Node\CyberLink\PowerProducer\3.0\UserReg]
- [<HKLM>\SOFTWARE\Wow6432Node\Adobe\Photoshop\7.0\Registration]
- [<HKCU>\Software\Microsoft\Windows Live Mail]
- [<HKCU>\Software\Microsoft\Internet Account Manager\Accounts]
- [<HKCU>\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
- [<HKCU>\Software\Yahoo\pager]
- [<HKCU>\Software\IMVU\password]
- [<HKCU>\Software\IMVU\username]
- [<HKCU>\Software\Paltalk]
- [<HKCU>\Software\America Online\aim6\Passwords]
- [<HKLM>\SOFTWARE\Wow6432Node\Elcom\Advanced ZIP Password Recovery\Registration]
- [<HKLM>\SOFTWARE\Wow6432Node\Nullsoft\Winamp]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\thunderbird\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\subfolder\filename.exe
- %TEMP%\wplgjgk.bmp
- %TEMP%\login data
- %TEMP%\sssjcr.txt
- %TEMP%\fuuj.txt
- %TEMP%\aknnwy.txt
- %TEMP%\tfmgs.txt
- %TEMP%\sx_win_bin.tmp
- %TEMP%\wckjmav.txt
Удаляет следующие файлы
- %TEMP%\login data
- %TEMP%\sssjcr.txt
- %TEMP%\fuuj.txt
- %TEMP%\aknnwy.txt
- %TEMP%\sx_win_bin.tmp
- %TEMP%\wckjmav.txt
Сетевая активность
UDP
- DNS ASK co####xsoftware.com
Другое
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' -f "%TEMP%\SssJCR.txt"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' -f "%TEMP%\FUUj.txt"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' -f "%TEMP%\tfmgs.txt"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' -f "%TEMP%\aKnNWY.txt"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' -f "%TEMP%\WCKjmAv.txt"
