Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\svchost.exe
Заражает следующие исполняемые файлы
- <Имя диска съемного носителя>:\winmine_backup.exe
- <Имя диска съемного носителя>:\notepad_backup.exe
- <Имя диска съемного носителя>:\calc_backup.exe
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\bloc-notes.exe
- <Имя диска съемного носителя>:\winmine_backup.exe
- <Имя диска съемного носителя>:\rcx99c1.tmp
- <Имя диска съемного носителя>:\notepad_backup.exe
- <Имя диска съемного носителя>:\rcxac21.tmp
- <Имя диска съемного носителя>:\calc_backup.exe
- <Имя диска съемного носителя>:\rcxb123.tmp
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\lw.resources
- %TEMP%\res981c.tmp
- %TEMP%\windowsupdate.ico
- %TEMP%\erb.resources
- %TEMP%\tbiaexr.resources
- %TEMP%\z4lvcecn.0.vb
- %TEMP%\z4lvcecn.cmdline
- %TEMP%\vbcaa8a.tmp
- %TEMP%\vbcae82.tmp
- %TEMP%\resaaaa.tmp
- %TEMP%\hwcpageu.resources
- %TEMP%\qm.resources
- %TEMP%\znjgmi7y.0.vb
- %TEMP%\znjgmi7y.cmdline
- %TEMP%\znjgmi7y.out
- %TEMP%\vbc980c.tmp
- %TEMP%\z4lvcecn.out
- %TEMP%\bx83_avl.out
- %TEMP%\6fctn02k.out
- %TEMP%\java.exe
- %TEMP%\svchost.exe
- %TEMP%\7300ua65r.resources
- %TEMP%\msnpsharp.dll
- %TEMP%\6fctn02k.0.vb
- %TEMP%\6fctn02k.cmdline
- %TEMP%\hsperfdata_user\1652
- %TEMP%\bx83_avl.0.vb
- %TEMP%\vbcf69b.tmp
- %TEMP%\resf69c.tmp
- %TEMP%\6fctn02k.exe
- %TEMP%\fni.resources
- %TEMP%\c.resources
- %TEMP%\whatdafock.txt
- %TEMP%\bx83_avl.cmdline
- %TEMP%\resaea2.tmp
Удаляет следующие файлы
- %TEMP%\resf69c.tmp
- %TEMP%\znjgmi7y.0.vb
- %TEMP%\znjgmi7y.out
- %TEMP%\znjgmi7y.cmdline
- %TEMP%\vbcae82.tmp
- %TEMP%\resaea2.tmp
- %TEMP%\tbiaexr.resources
- %TEMP%\erb.resources
- %TEMP%\z4lvcecn.0.vb
- %TEMP%\z4lvcecn.out
- %TEMP%\z4lvcecn.cmdline
- %TEMP%\vbcaa8a.tmp
- %TEMP%\resaaaa.tmp
- %TEMP%\windowsupdate.ico
- %TEMP%\c.resources
- %TEMP%\fni.resources
- %TEMP%\bx83_avl.0.vb
- %TEMP%\bx83_avl.cmdline
- %TEMP%\bx83_avl.out
- %TEMP%\vbc980c.tmp
- %TEMP%\res981c.tmp
- %TEMP%\6fctn02k.cmdline
- %TEMP%\6fctn02k.out
- %TEMP%\6fctn02k.0.vb
- %TEMP%\6fctn02k.exe
- %TEMP%\vbcf69b.tmp
- %TEMP%\hwcpageu.resources
- %TEMP%\qm.resources
Подменяет следующие исполняемые файлы
- <Имя диска съемного носителя>:\winmine.exe
- <Имя диска съемного носителя>:\notepad.exe
- <Имя диска съемного носителя>:\calc.exe
Подменяет следующие файлы
- %TEMP%\windowsupdate.ico
Сетевая активность
Подключается к
- '17#.#3.169.14':80
Другое
Создает и запускает на исполнение
- '%TEMP%\java.exe'
- '%TEMP%\svchost.exe'
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\6fctn02k.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF69C.tmp" "%TEMP%\vbcF69B.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\bx83_avl.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES981C.tmp" "%TEMP%\vbc980C.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\z4lvcecn.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESAAAA.tmp" "%TEMP%\vbcAA8A.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\znjgmi7y.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESAEA2.tmp" "%TEMP%\vbcAE82.tmp"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\6fctn02k.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF69C.tmp" "%TEMP%\vbcF69B.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\bx83_avl.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES981C.tmp" "%TEMP%\vbc980C.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\z4lvcecn.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESAAAA.tmp" "%TEMP%\vbcAA8A.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\znjgmi7y.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESAEA2.tmp" "%TEMP%\vbcAE82.tmp"
